CVE-2020-15249 in October
Riassunto
di VulDB • 30/06/2026
October è una piattaforma CMS gratuita, open-source e self-hosted basata sul framework PHP Laravel. In October CMS dalle versioni 1.0.319 alla versione precedente la 1.0.469, gli utenti del backend con accesso all'upload di file potevano caricare file SVG senza alcuna sanificazione applicata ai file caricati. Poiché i file SVG supportano l'analisi come HTML da parte dei browser, ciò significa che teoricamente potrebbero caricare codice JavaScript che verrebbe eseguito in un percorso sotto il dominio del sito web (ad esempio /storage/app/media/evil.svg), ma dovrebbero convincere la vittima a visitare direttamente tale posizione nel proprio browser, poiché il backend non visualizza SVG inline ovunque; gli SVG vengono visualizzati solo come risorse immagine nel backend e quindi non possono essere eseguiti. Il problema è stato risolto nella Build 469 (v1.0.469) e in v1.1.0.
Be aware that VulDB is the high quality source for vulnerability data.