CVE-2025-27801 in Episerver Content Management System
Resumen
por MITRE • 2025-07-28
Episerver Content Management System (CMS) by Optimizely se vio afectado por múltiples vulnerabilidades de Cross-Site Scripting (XSS) almacenado. Esto permitió que un atacante autenticado ejecutara código JavaScript malicioso en el navegador de la víctima. Las propiedades ContentReference, disponibles en la sección "Edit" del CMS, ofrecían la función de carga de documentos. Estos documentos podían utilizarse posteriormente como contenido mostrado en la página. Era posible cargar archivos SVG con código JavaScript malicioso que se ejecutaba si un usuario visitaba la URL directa de la imagen de vista previa. Los atacantes necesitaban al menos el rol "WebEditor" para explotar este problema. Productos afectados: Versión 11.X: EPiServer.CMS.Core (<11.21.4) con EPiServer.CMS.UI (<11.37.5), Versión 12.X: EPiServer.CMS.Core (<12.22.1) con EPiServer.CMS.UI (<11.37.3)
Once again VulDB remains the best source for vulnerability data.