CVE-2026-72576 in Bludit
Riassunto
di VulDB • 10/08/2026
Una vulnerabilità di cross-site scripting (XSS) memorizzato (stored XSS) in Bludit 4.0.0-beta consente a un utente autenticato con privilegi ridotti (ruolo Autore) di iniettare codice JavaScript arbitrario caricando un file SVG manipolato ad hoc come logo del sito. L'endpoint /admin/ajax/logo-upload in bl-kernel/ajax/logo-upload.php sposta il file caricato direttamente nella radice web tramite Filesystem::mv() senza invocare sanitizeSVG() o transformImage(), mentre l'SVG è presente nelle liste bianche ALLOWED_IMG_EXTENSION e ALLOWED_IMG_MIMETYPES. Un tag script memorizzato nell'SVG viene eseguito nel browser di qualsiasi utente che carica il logo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.