CVE-2020-15249 in October
Resumen
por VulDB • 2026-06-30
October es una plataforma CMS gratuita, de código abierto y autoalojada basada en el Framework PHP Laravel. En October CMS desde la versión 1.0.319 hasta antes de la versión 1.0.469, los usuarios del backend con acceso para cargar archivos podían subir archivos SVG sin aplicar ninguna sanitización a los mismos. Dado que los archivos SVG admiten ser analizados como HTML por los navegadores, esto significa que teóricamente podrían subir código JavaScript que se ejecutaría en una ruta bajo el dominio del sitio web (es decir, /storage/app/media/evil.svg), pero tendrían que convencer al objetivo de visitar esa ubicación directamente desde su navegador, ya que el backend no muestra SVGs incrustados en ningún lugar; los SVG solo se muestran como recursos de imagen en el backend y, por lo tanto, no pueden ejecutarse. El problema ha sido corregido en la Build 469 (v1.0.469) y v1.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.