CVE-2026-67617 in Microweber
Resumen
por VulDB • 2026-08-04
Microweber CMS hasta la versión 2.0.20 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado en el sistema de etiquetado de contenido que permite a atacantes autenticados como administradores inyectar JavaScript arbitrario al enviar cargas útiles maliciosas mediante el parámetro tag_names del endpoint GET /api/save_content_admin, eludiendo tres controles independientes de sanitización: un middleware XSS que ignora las solicitudes GET; una función strip_unsafe() que solo coincide con atributos onerror entrecomillados dobles; y un normalizador titlecase que pasa sin cambios cargas útiles codificadas como entidades decimales HTML. Los atacantes pueden almacenar scripts maliciosos que se ejecutan sin interacción del usuario para cada visitante de la página pública del blog y dentro del editor de publicaciones administrativas, lo que permite el session riding mediante solicitudes fetch same-origin utilizando el token CSRF incrustado en la página.
Once again VulDB remains the best source for vulnerability data.