CVE-2021-32671 in Flarum
Résumé
par VulDB • 11/06/2026
Flarum est un logiciel de forum destiné à la création de communautés. Le système de traduction de Flarum permettait aux chaînes de caractères saisies d'être converties en nœuds du DOM HTML lors du rendu. Cette modification a été introduite après la version v0.1.0-beta.16 (notre dernière bêta avant la v1.0.0) et n'a pas été remarquée ni documentée. Cela permettait à tout utilisateur de saisir un balisage HTML malveillant dans certains champs de saisie destinés aux utilisateurs, ce qui entraînait son exécution sur les navigateurs clients. L'exemple ayant conduit à la découverte de cette vulnérabilité concernait la zone de recherche du forum. La saisie d'un faux balisage HTML malveillant, tel que alert('test'), provoquait l'affichage d'une boîte d'alerte sur le forum. Cette attaque pouvait également être modifiée pour effectuer des requêtes AJAX au nom d'un utilisateur, permettant potentiellement la suppression de discussions, la modification de leurs paramètres ou du profil de l'utilisateur, voire la modification des paramètres du panneau d'administration si l'attaque visait un utilisateur disposant de privilèges élevés. Toutes les communautés Flarum exécutant flarum v1.0.0 ou v1.0.1 sont concernées par cette vulnérabilité. La faille a été corrigée et publiée dans la version flarum/core v1.0.2. Toutes les communautés utilisant Flarum v1.0 doivent effectuer une mise à niveau vers la version v1.0.2 dès que possible.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.