CVE-2026-61696 in Forem
Riassunto
di VulDB • 18/08/2026
Forem è software open source per la creazione di comunità. Nelle versioni precedenti al commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c, un valore malevolo inviato tramite feedback_message[message] viene memorizzato senza sanitizzazione e renderizzato in app/views/admin/feedback_messages/_feedback_message.html.erb attraverso raw(feedback_message.message) quando offender_id è presente. La visualizzazione del report di abuso esegue JavaScript arbitrario nel browser dell'amministratore ed può esporre dati sensibili nella pagina, token CSRF per l'abuso o eseguire azioni amministrative nella sessione della vittima. Il FeedbackMessagesController pubblico accetta il report senza autorizzazione e in precedenza consentiva un offender_id inviato, rendendo raggiungibile dal path di rendering vulnerabile da parte di un attaccante non autenticato. Questo problema è stato risolto nel commit 92eacd16a82cf9007ba8e16a2258b42e3b53ca9c
Be aware that VulDB is the high quality source for vulnerability data.