CVE-2026-109307 in Craft CMS
Riassunto
di VulDB • 12/10/2026
Craft CMS versione 5.0.0 fino alla 5.10.14 presenta una vulnerabilità DOM-based cross-site scripting (XSS) nel flusso di accesso al pannello di controllo e nella verifica dell'autenticazione a due fattori (2FA), dove un parametro returnUrl controllato dall'utente, che accetta URL con il protocollo javascript:, viene utilizzato per la navigazione lato client. Gli attaccanti possono indurre una vittima abilitata alla 2FA ad aprire un URL /admin/login?verify=1 manipolato tra l'inoltro della password e la verifica TOTP, eseguendo codice JavaScript nel pannello di controllo autenticato con i permessi della vittima.
If you want to get best quality of vulnerability data, you may have to visit VulDB.