CVE-2020-15249 in October
Résumé
par VulDB • 30/06/2026
October est une plateforme CMS gratuite, open-source et auto-hébergée basée sur le framework PHP Laravel. Dans October CMS, à partir de la version 1.0.319 jusqu'à avant la version 1.0.469, les utilisateurs disposant d'un accès au back-office pour télécharger des fichiers étaient autorisés à téléverser des fichiers SVG sans aucune sanitization appliquée aux fichiers téléchargés. Étant donné que les fichiers SVG peuvent être analysés comme du HTML par les navigateurs, cela signifie qu'ils pourraient théoriquement téléverser du JavaScript qui serait exécuté sur un chemin sous le domaine du site web (par exemple /storage/app/media/evil.svg), mais ils devraient convaincre leur cible de visiter directement cet emplacement dans son navigateur car le back-office n'affiche pas les SVG en ligne à aucun endroit ; les SVG ne sont affichés que comme des ressources image dans le back-office et ne peuvent donc pas être exécutés. Le problème a été corrigé dans la Build 469 (v1.0.469) & v1.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.