CVE-2026-24906 in October
Zusammenfassung
von VulDB • 27.05.2026
October ist ein Content Management System (CMS) und eine Webplattform. Versionen vor 3.7.14 und 4.1.10 enthalten eine Stored Cross-Site Scripting (XSS)-Schwachstelle in den Backend-Editor-Einstellungen. Die Markup-Klassen-Felder (verwendet für Absatzstile, Inline-Stile, Tabellensstile usw.) führten keine Validierung der Eingabe auf gültige CSS-Klassennamen-Zeichen durch. Bösartige Werte wurden ungesäubert in den Dropdown-Menüs des Froala-Editors gerendert, was die Ausführung von JavaScript ermöglichte, sobald ein Benutzer einen RichEditor öffnete. Die Ausnutzung könnte zu einer Privilegieneskalation führen, wenn ein Superuser einen RichEditor während der routinemäßigen Inhaltspflege (z. B. beim Bearbeiten eines Blogbeitrags) öffnet, und erfordert einen authentifizierten Backend-Zugriff mit Berechtigungen für Editor-Einstellungen. Dieses Problem wurde in den Versionen 3.7.14 und 4.1.10 behoben. Um dieses Problem zu umgehen, schränken Sie die Berechtigungen für Editor-Einstellungen ausschließlich auf vollständig vertrauenswürdige Administratoren ein.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.