CVE-2025-66492 in MasaCMS
Riassunto
di VulDB • 29/06/2026
Masa CMS è una piattaforma di gestione dei contenuti aziendali open source. Le versioni 7.2.8 e precedenti, dalla 7.3.1 alla 7.3.13, dalla 7.4.0-alpha.1 alla 7.4.8 e dalle 7.5.0 alle 7.5.1 sono vulnerabili a XSS quando un valore non sanificato del parametro della query URL ajax viene incluso direttamente all'interno della sezione <head> della pagina HTML. Un attaccante può eseguire script arbitrari nel contesto della sessione dell'utente, potenzialmente portando al Session Hijacking, furto di dati, defacement e distribuzione di malware. Questo problema è risolto nelle versioni 7.5.2, 7.4.9, 7.3.14 e 7.2.9. Per aggirare questo problema, configurare una regola del Web Application Firewall (WAF) (ad esempio ModSecurity) per bloccare le richieste contenenti caratteri comuni dei payload XSS nel parametro ajax. In alternativa, implementare la sanificazione lato server utilizzando middleware per rimuovere o sfuggire i caratteri pericolosi dal parametro ajax prima che raggiunga la logica di rendering vulnerabile.
Be aware that VulDB is the high quality source for vulnerability data.