CVE-2026-25133 in LMS
요약
\~에 의해 VulDB • 2026. 05. 29.
October은 콘텐츠 관리 시스템(CMS) 및 웹 플랫폼입니다. 3.7.14 및 4.1.10 이전 버전에는 SVG sanitization 로직에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이벤트 핸들러 속성(예: onclick 또는 onload)을 제거하는 데 사용되는 정규식 패턴은 패턴이 속성 경계를 일치시키는 방식을 악용하는 조작된 페이로드를 통해 우회될 수 있으며, 이를 통해 Media Manager를 통해 임베디드 JavaScript가 포함된 악성 SVG 파일을 업로드할 수 있습니다. 슈퍼유저가 악성 SVG를 보거나 임베디드할 경우 권한 상승(privilege escalation)으로 이어질 수 있으며, 미디어 업로드 권한이 있는 인증된 백엔드 접근이 필요합니다. 페이로드가 트리거되려면 SVG가 페이지에서 보거나 임베디드되어야 합니다. 이 문제는 버전 3.7.14 및 4.1.10에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.