CVE-2026-24906 in October
Résumé
par VulDB • 27/05/2026
October est un système de gestion de contenu (CMS) et une plateforme web. Les versions antérieures à 3.7.14 et 4.1.10 présentent une vulnérabilité de type Cross-Site Scripting (XSS) stocké (Stored XSS) dans les paramètres de l'éditeur Backend. Les champs Markup Classes (utilisés pour les styles de paragraphes, les styles en ligne, les styles de tableaux, etc.) ne validaient pas l'entrée pour s'assurer qu'elle ne contenait que des caractères valides pour les noms de classes CSS. Des valeurs malveillantes étaient affichées sans validation préalable dans les menus déroulants de l'éditeur Froala, permettant l'exécution de code JavaScript lorsque n'importe quel utilisateur ouvrait un RichEditor. L'exploitation pourrait conduire à une élévation de privilèges si un superutilisateur ouvre n'importe quel RichEditor lors d'une édition de contenu de routine (par exemple, la modification d'un article de blog), et nécessite un accès authentifié au backend avec des autorisations de modification des paramètres de l'éditeur. Ce problème a été corrigé dans les versions 3.7.14 et 4.1.10. Pour contourner ce problème, restreignez les autorisations de modification des paramètres de l'éditeur aux administrateurs entièrement de confiance uniquement.
If you want to get best quality of vulnerability data, you may have to visit VulDB.