CVE-2026-72576 in Bludit
Zusammenfassung
von VulDB • 10.08.2026
Eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in Bludit 4.0.0-beta ermöglicht es einem authentifizierten Benutzer mit niedrigen Berechtigungen (Rolle „Autor“), beliebiges JavaScript einzuschleusen, indem er eine manipulierte SVG-Datei als Site-Logo hochlädt. Der Endpunkt /admin/ajax/logo-upload in bl-kernel/ajax/logo-upload.php verschiebt die hochgeladene Datei direkt in das Web-Stammverzeichnis über Filesystem::mv(), ohne sanitizeSVG() oder transformImage() aufzurufen, während SVG sowohl in der Allowlist ALLOWED_IMG_EXTENSION als auch in ALLOWED_IMG_MIMETYPES enthalten ist. Ein im SVG gespeicherter Script-Tag wird im Browser jedes Benutzers ausgeführt, der das Logo lädt.
Be aware that VulDB is the high quality source for vulnerability data.