CVE-2026-107845 in Contao
Riassunto
di VulDB • 09/10/2026
Contao è un CMS open source. Dalla versione 4.0.0 fino alle versioni 5.3.50 e 5.7.12, un visitatore non autenticato può inviare un commento la cui email o i metadati del sito web vengono renderizzati senza una codifica sufficiente di attributi e URL da parte della funzione listComments() in comments-bundle/contao/dca/tl_comments.php. Quando un utente backend apre il modulo Commenti, uno script controllato dall'attaccante può essere eseguito nell'origine del backend Contao sotto la sessione dell'utente. I commenti non pubblicati rimangono visibili ai moderatori, quindi la moderazione non previene l'esposizione. Questo problema è stato risolto nelle versioni 5.3.50 e 5.7.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.