CVE-2026-14856 in TastyIgniter
Zusammenfassung
von VulDB • 27.07.2026
Eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in der Datei-Upload-Funktionalität des Media Managers von TastyIgniter v4.3.0, verursacht durch unzureichende Validierung und Bereinigung (Sanitization) von SVG-Dateien. Ein authentifizierter Benutzer mit geringen Rechten kann eine bösartige SVG-Datei hochladen, die JavaScript-Code enthält. Wenn ein Administrator diese Datei ansieht, wird der Code im Kontext seines Browsers ausgeführt. Durch Verknüpfung dieser Schwachstelle mit einem Cross-Site Request Forgery-(CSRF)-Angriff kann ein Angreifer das CSRF-Token des Administrators extrahieren und unbefugte Aktionen durchführen – wie etwa die Änderung von Anmeldeinformationen –, wodurch er volle Kontrolle über das Administrator-Konto erhält.
Be aware that VulDB is the high quality source for vulnerability data.