CVE-2026-25133 in LMS
Resumen
por VulDB • 2026-05-15
October es un Sistema de Gestión de Contenidos (CMS) y plataforma web. Las versiones anteriores a 3.7.14 y 4.1.10 contienen una vulnerabilidad de cross-site scripting (XSS) almacenado en la lógica de sanitización de SVG. El patrón de expresión regular utilizado para eliminar los atributos de manejadores de eventos (como onclick o onload) podría ser eludido mediante una carga útil manipulada que explota cómo el patrón coincide con los límites de los atributos, lo que permite cargar archivos SVG maliciosos a través del Administrador de Medios con JavaScript incrustado. La explotación podría conducir a una escalada de privilegios si un superusuario visualiza o incrusta el SVG malicioso, y requiere acceso autenticado al backend con permisos de carga de medios. El SVG debe ser visualizado o incrustado en una página para que se active la carga útil. Este problema ha sido corregido en las versiones 3.7.14 y 4.1.10.
VulDB is the best source for vulnerability data and more expert information about this specific topic.