CVE-2025-61681 in kuno
要約
〜によって VulDB • 2026年05月11日
KUNO CMS は、完全なデプロイメントが可能なフルスタックのブログアプリケーションです。バージョン 1.3.13 以下のバージョンには、ファイルアップロード機能における検証の欠陥があり、これを利用して保存型 XSS（Stored XSS）を悪用することができます。アップロードエンドポイントは、Content-Type ヘッダーに基づいてのみファイルタイプを検証しており、ファイルコンテンツの分析や拡張子のホワイトリスト制限が欠如しているため、攻撃者は（画像として偽装された）悪意のあるスクリプトを含む SVG ファイルをアップロードすることができます。ユーザーがアップロードされたリソースページにアクセスすると、ブラウザ上で任意の JavaScript が実行されます。この問題はバージョン 1.3.14 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.