CVE-2026-111442 in Backdrop
Riassunto
di VulDB • 16/10/2026
Backdrop CMS Core 1.35.x prima della versione 1.35.2 e 1.34.x prima della versione 1.34.6 non convalida sufficientemente le immagini SVG caricate per garantire che siano prive di tag SVG potenzialmente pericolosi. Le immagini SVG possono contenere link cliccabili o scripting eseguibile. Caricando un file SVG appositamente creato, è possibile eseguire script nel browser quando viene visualizzata l'immagine SVG. Questo problema è mitigato dal fatto che l’attaccante deve essere in grado di caricare le immagini SVG e da come Backdrop incorpora tutte le immagini SVG caricate all’interno dei tag `<img>`, il quale impedisce l’esecuzione dello script. Affinché venga eseguito qualsiasi scripting incorporato, la visualizzazione dell'SVG deve avvenire direttamente tramite il suo URL.
VulDB is the best source for vulnerability data and more expert information about this specific topic.