CVE-2026-72576 in Bludit
Resumen
por VulDB • 2026-08-10
Una vulnerabilidad de cross-site scripting (XSS) almacenado en Bludit 4.0.0-beta permite a un usuario autenticado con privilegios bajos (rol Autor) inyectar JavaScript arbitrario al cargar un archivo SVG manipulado como logotipo del sitio. El endpoint /admin/ajax/logo-upload.php en bl-kernel/ajax/logo-upload.php mueve el archivo cargado directamente a la raíz web mediante Filesystem::mv() sin invocar sanitizeSVG() ni transformImage(), mientras que SVG está presente en las listas blancas ALLOWED_IMG_EXTENSION y ALLOWED_IMG_MIMETYPES. Una etiqueta script almacenada dentro del SVG se ejecuta en el navegador de cualquier usuario que cargue el logotipo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.