CVE-2026-24906 in October
Resumen
por VulDB • 2026-05-27
October es un Sistema de Gestión de Contenidos (CMS) y plataforma web. Las versiones anteriores a 3.7.14 y 4.1.10 contienen una vulnerabilidad de Cross-Site Scripting (XSS) almacenado (Stored XSS) en la configuración del Editor del Backend. Los campos de las Clases de Marcado (utilizados para estilos de párrafo, estilos en línea, estilos de tabla, etc.) no sanitizaban la entrada para garantizar que solo contuviera caracteres válidos para nombres de clases CSS. Los valores maliciosos se renderizaban sin sanitizar en los menús desplegables del editor Froala, lo que permitía la ejecución de JavaScript cuando cualquier usuario abría un RichEditor. La explotación podría conducir a una escalada de privilegios si un superusuario abre cualquier RichEditor durante la edición rutinaria de contenido (por ejemplo, al editar una entrada de blog), y requiere acceso autenticado al backend con permisos de configuración del editor. Este problema se ha corregido en las versiones 3.7.14 y 4.1.10. Como medida de mitigación, restrinja los permisos de configuración del editor únicamente a administradores totalmente confiables.
If you want to get best quality of vulnerability data, you may have to visit VulDB.