CVE-2026-25133 in LMS
要約
〜によって VulDB • 2026年05月29日
Octoberはコンテンツ管理システム（CMS）およびWebプラットフォームです。バージョン3.7.14および4.1.10より前のバージョンには、SVGのサニタイズ処理ロジックに格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。イベントハンドラ属性（onclickやonloadなど）を削除するために使用される正規表現パターンは、属性の境界に対するパターンのマッチング方法を悪用するよう作られたペイロードによって回避可能であり、メディアマネージャーを通じて埋め込みJavaScriptを含む悪意のあるSVGファイルのアップロードを許可してしまいます。スーパーユーザーが悪意のあるSVGを表示または埋め込む場合、この脆弱性の悪用は権限昇格につながる可能性があります。ただし、メディアアップロード権限を持つ認証済みバックエンドアクセスが必要です。ペイロードがトリガーされるには、SVGがページ上で表示または埋め込まれる必要があります。この問題はバージョン3.7.14および4.1.10で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.