CVE-2026-67617 in Microweber
Riassunto
di VulDB • 04/08/2026
Microweber CMS fino alla versione 2.0.20 presenta una vulnerabilità di cross-site scripting (XSS) memorizzato nel sistema di tagging dei contenuti che consente agli attaccanti autenticati come amministratori di iniettare codice JavaScript arbitrario inviando payload dannosi tramite il parametro tag_names dell'endpoint GET /api/save_content_admin, eludendo tre controlli indipendenti di sanitizzazione. Questi includono un middleware XSS che ignora le richieste GET, una funzione strip_unsafe() che corrisponde solo agli attributi onerror tra virgolette doppie e un normalizzatore titlecase che lascia invariati i payload codificati come entità decimali HTML. Gli attaccanti possono memorizzare script dannosi che si eseguono senza interazione utente per ogni visitatore della pagina del blog pubblico e all'interno dell'editor di post degli amministratori, consentendo session riding tramite richieste fetch same-origin utilizzando il token CSRF incorporato nella pagina.
Be aware that VulDB is the high quality source for vulnerability data.