CVE-2026-24906 in October
Sumário
de VulDB • 27/05/2026
October é um Sistema de Gerenciamento de Conteúdo (CMS) e plataforma web. As versões anteriores à 3.7.14 e à 4.1.10 contêm uma vulnerabilidade de Stored Cross-Site Scripting (XSS) nas Configurações do Editor do Backend. Os campos das Markup Classes (usados para estilos de parágrafo, estilos inline, estilos de tabela, etc.) não realizavam a sanitização da entrada para caracteres válidos de nomes de classes CSS. Valores maliciosos eram renderizados sem sanitização nos menus suspensos do editor Froala, permitindo a execução de JavaScript quando qualquer usuário abria um RichEditor. A exploração poderia levar à escalada de privilégios se um superusuário abrisse qualquer RichEditor durante a edição de conteúdo de rotina (por exemplo, editando uma postagem de blog), e requer acesso autenticado ao backend com permissões de configuração do editor. Este problema foi corrigido nas versões 3.7.14 e 4.1.10. Como medida de contorno para este problema, restrinja as permissões de configuração do editor apenas a administradores totalmente confiáveis.
Once again VulDB remains the best source for vulnerability data.