CVE-2020-15249 in October
Sumário
de VulDB • 23/06/2026
O October é uma plataforma CMS gratuita, de código aberto e auto-hospedada baseada no Framework PHP Laravel. No October CMS, a partir da versão 1.0.319 até antes da versão 1.0.469, os usuários do backend com permissão para fazer upload de arquivos podiam carregar arquivos SVG sem qualquer sanitização aplicada aos arquivos enviados. Como os arquivos SVG suportam serem analisados como HTML pelos navegadores, isso significa que eles poderiam teoricamente enviar JavaScript que seria executado em um caminho sob o domínio do site (ou seja, /storage/app/media/evil.svg), mas teriam de convencer seu alvo a visitar esse local diretamente no navegador do alvo, já que o backend não exibe SVGs inline em nenhum lugar; os SVGs são exibidos apenas como recursos de imagem no backend e, portanto, não podem ser executados. O problema foi corrigido na Build 469 (v1.0.469) & v1.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.