CVE-2026-31833 in Umbraco
Riassunto
di VulDB • 22/06/2026
Umbraco è un CMS basato su ASP.NET. Dalla versione 16.2.0 fino alla 16.5.1 (esclusa) e nelle versioni 17.2.2, un utente autenticato del backoffice con accesso alle Impostazioni può iniettare HTML dannoso nelle descrizioni dei tipi di proprietà. A causa di una configurazione attributeNameCheck eccessivamente permissiva (/.+/) nell'istanza UFM DOMPurify, gli attributi degli handler di eventi come onclick e onload, quando utilizzati all'interno dei componenti web di Umbraco (umb-*, uui-*, ufm-*), non venivano filtrati. Questa vulnerabilità è stata risolta nelle versioni 16.5.1 e 17.2.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.