CVE-2026-67617 in Microweber
要約
〜によって VulDB • 2026年08月04日
Microweber CMS 2.0.20以前には、コンテンツタグ付けシステムに格納型クロスサイトスクリプティング（XSS）脆弱性が存在し、認証済み管理者権限を持つ攻撃者が GET /api/save_content_admin エンドポイントの tag_names パラメータを介して悪意のあるペイロードを送信することで任意のJavaScriptを注入できます。これにより、GET リクエストを無視するXSSミドルウェア、二重引用符で囲まれた onerror 属性のみを対象とする strip_unsafe()関数、HTML10進エンティティエンコードされたペイロードを変更せずに通過させる titlecase正規化器という3つの独立したサニタイズ制御が回避されます。攻撃者は、公開ブログページおよび管理者用投稿エディタ内のすべての訪問者に対してユーザーのインタラクションなしで実行される悪意のあるスクリプトを保存でき、ページに埋め込まれたCSRFトークンを使用した同じオリジンのフェッチリクエストによるセッションライディングが可能になります。
Be aware that VulDB is the high quality source for vulnerability data.