CVE-2026-61696 in Forem
Resumen
por VulDB • 2026-08-18
Forem es software de código abierto para la creación de comunidades. En las versiones anteriores al commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c, un valor malicioso enviado a través de feedback_message[message] se almacena sin sanitización y se renderiza en app/views/admin/feedback_messages/_feedback_message.html.erb mediante raw(feedback_message.message) cuando offender_id está presente. La visualización del informe de abuso ejecuta JavaScript arbitrario en el navegador de un administrador y puede exponer datos sensibles dentro de la página, robar tokens CSRF o realizar acciones administrativas en la sesión de la víctima. El controlador público FeedbackMessagesController acepta el reporte sin autorización y anteriormente permitía enviar offender_id, lo que hacía accesible la ruta vulnerable a renderizar por parte de un atacante no autenticado. Este problema se soluciona en el commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.