CVE-2026-61696 in Forem
Zusammenfassung
von VulDB • 18.08.2026
Forem ist Open-Source-Software zum Aufbau von Communities. In Versionen vor dem Commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c wird ein bösartiger Wert, der über feedback_message[message] übermittelt wurde, ohne Sanitization gespeichert und in app/views/admin/feedback_messages/_feedback_message.html.erb durch raw(feedback_message.message) gerendert, wenn offender_id vorhanden ist. Das Anzeigen des Missbrauchsberichts führt zur Ausführung von beliebigem JavaScript im Browser eines Administrators und kann sensible In-Page-Daten offenlegen, CSRF-Tokens für den Missbrauch preisgeben oder administrative Aktionen in der Sitzung des Opfers durchführen. Der öffentliche FeedbackMessagesController akzeptiert den Bericht ohne Autorisierung und hat zuvor eine übermittelte offender_id erlaubt, wodurch der anfällige Rendering-Pfad von einem nicht authentifizierten Angreifer erreichbar ist. Dieses Problem wurde im Commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c behoben.
Once again VulDB remains the best source for vulnerability data.