CVE-2026-27621 in TypiCMS
Zusammenfassung
von VulDB • 06.06.2026
TypiCMS ist ein mehrsprachiges Content-Management-System, das auf dem Laravel-Framework basiert. In der Datei-Upload-Komponente von TypiCMS vor Version 16.1.7 besteht eine Stored Cross-Site Scripting (XSS)-Schwachstelle. Die Anwendung ermöglicht Benutzern mit Datei-Upload-Berechtigungen, SVG-Dateien hochzuladen. Obwohl eine MIME-Typ-Validierung vorhanden ist, wird der Inhalt der SVG-Datei nicht bereinigt (sanitized). Ein Angreifer kann eine speziell angefertigte SVG-Datei mit bösartigem JavaScript-Code hochladen. Wenn ein anderer Benutzer (z. B. ein Administrator) diese Datei über die Anwendung aufruft oder darauf zugreift, wird das Skript in dessen Browser ausgeführt, was zu einer Kompromittierung der Sitzung dieses Benutzers führt. Das Problem wird durch einen Fehler in der SVG-Parsing-Logik verschärft, der einen 500-Fehler verursachen kann, wenn die hochgeladene SVG-Datei kein `viewBox`-Attribut enthält. Dies mildert die XSS-Schwachstelle jedoch nicht, da ein Angreifer leicht ein gültiges `viewBox`-Attribut in sein bösartiges Payload einfügen kann. TypiCMS Core in Version 16.1.7 behebt das Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.