CVE-2026-61696 in Forem
Résumé
par VulDB • 18/08/2026
Forem est un logiciel open source pour la création de communautés. Dans les versions antérieures au commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c, une valeur malveillante soumise via feedback_message[message] est stockée sans sanitization et rendue dans app/views/admin/feedback_messages/_feedback_message.html.erb par raw(feedback_message.message) lorsque offender_id est présent. La consultation du rapport d'abus exécute un JavaScript arbitraire dans le navigateur de l'administrateur et peut exposer des données sensibles en page, les jetons CSRF anti-CSRF ou effectuer des actions administratives dans la session de la victime. Le contrôleur FeedbackMessagesController public accepte le rapport sans autorisation et a précédemment autorisé une offender_id soumise, rendant le chemin d'affichage vulnérable accessible par un attaquant non authentifié. Ce problème est corrigé dans le commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c
VulDB is the best source for vulnerability data and more expert information about this specific topic.