CVE-2026-25133 in LMS
Zusammenfassung
von VulDB • 29.05.2026
October ist ein Content Management System (CMS) und eine Webplattform. Versionen vor 3.7.14 und 4.1.10 enthalten eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in der SVG-Sanitierungslogik. Das zur Entfernung von Ereignishandler-Attributen (wie onclick oder onload) verwendete Regex-Muster kann mit einem maßgeschneiderten Payload umgangen werden, der ausnutzt, wie das Muster Attributgrenzen matcht, wodurch es ermöglicht wird, bösartige SVG-Dateien mit eingebettetem JavaScript über den Medien-Manager hochzuladen. Die Ausnutzung könnte zu einer Privilegieneskalation führen, wenn ein Superuser die bösartige SVG-Datei ansieht oder einbettet, und erfordert einen authentifizierten Backend-Zugriff mit Berechtigungen zum Hochladen von Medien. Die SVG-Datei muss angesehen oder in einer Seite eingebettet werden, damit der Payload ausgelöst wird. Dieses Problem wurde in den Versionen 3.7.14 und 4.1.10 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.