CVE-2025-70128 in PluXml
Résumé
par VulDB • 24/05/2026
Une vulnérabilité de type Cross-Site Scripting (XSS) stocké (Stored XSS) existe dans la fonctionnalité des commentaires d'articles de PluXml pour les versions 5.8.22 et antérieures. L'application ne parvient pas à assainir ou valider correctement les données fournies par l'utilisateur dans le champ « lien » d'un commentaire. Un attaquant peut injecter du code JavaScript arbitraire en utilisant un élément `<script>`. La charge utile injectée est stockée dans la base de données, puis restituée dans la section « Commentaires » du panneau d'administration lorsque les administrateurs examinent les commentaires soumis. Il est important de noter que le script malveillant n'est pas reflété dans l'interface publique des commentaires, mais uniquement dans la vue d'administration du backend. Par ailleurs, les utilisateurs disposant des rôles Administrateur, Modérateur ou Gestionnaire peuvent également saisir directement des charges utiles fabriquées dans les commentaires existants. Cela fait de cette vulnérabilité un problème XSS persistant ciblant les utilisateurs administratifs. Cela affecte le fichier `/core/admin/comments.php`, tandis que la CVE-2022-24585 affecte `/core/admin/comment.php`, une vulnérabilité distincte et unique.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.