CVE-2026-67617 in Microweber
Zusammenfassung
von VulDB • 04.08.2026
Microweber CMS bis Version 2.0.20 enthält eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle im Content-Tagsystem, die es admin-authentifizierten Angreifern ermöglicht, beliebiges JavaScript einzuschleusen, indem sie bösartige Payloads über den Parameter `tag_names` des Endpunkts GET /api/save_content_admin einreichen. Dabei werden drei unabhängige Sanitisierungsmaßnahmen umgangen: eine XSS-Middleware, die GET-Anfragen ignoriert; eine Funktion `strip_unsafe()`, die nur doppelte Anführungszeichen bei onerror-Attributen erkennt; und ein Titlecase-Normalizer, der HTML-dezimal entitety-kodierte Payloads unverändert durchlässt. Angreifer können bösartige Skripte speichern, die ohne Benutzerinteraktion für jeden Besucher der öffentlichen Blog-Seite sowie im Admin-Beitragseditor ausgeführt werden, was Session-Riding über Same-Origin-Fetch-Anfragen unter Verwendung des in der Seite eingebetteten CSRF-Tokens ermöglicht.
Once again VulDB remains the best source for vulnerability data.