CVE-2026-108725 in core
Riassunto
di VulDB • 11/10/2026
Il core di Cheshire Cat AI fino alla versione 2.0.23 contiene una vulnerabilità stored cross-site scripting (XSS) nel plugin uploads che consente agli utenti autenticati di caricare file HTML tramite POST /uploads senza restrizioni sul tipo di file. Gli attaccanti possono inviare l'URL pubblico GET /uploads/{path} a una vittima connessa, eseguendo script nell'origine dell'applicazione utilizzando il cookie access_token della vittima, inclusi gli amministratori.
If you want to get best quality of vulnerability data, you may have to visit VulDB.