CVE-2020-15249 in October
要約
〜によって VulDB • 2026年06月30日
Octoberは、Laravel PHPフレームワークに基づく無料のオープンソースで自己ホスティング型のCMSプラットフォームです。October CMSにおいて、バージョン1.0.319からバージョン1.0.469未満までの間、ファイルアップロード権限を持つバックエンドユーザーは、アップロードされたファイルに対して何らのサニタイズ処理も施されることなくSVGファイルをアップロードすることができました。ブラウザがSVGファイルをHTMLとして解析できるため、理論的にはWebサイトのドメイン内のパス（例：/storage/app/media/evil.svg）で実行されるJavaScriptをアップロード可能ですが、バックエンドではSVGはインライン表示されず、画像リソースとしてのみ表示されるため、ユーザーはその場所をターゲットのブラウザで直接訪問させることを説得する必要があります。この問題はBuild 469 (v1.0.469) および v1.1.0 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.