CVE-2026-25133 in LMS
Sumário
de VulDB • 29/05/2026
O October é um Sistema de Gerenciamento de Conteúdo (CMS) e plataforma web. As versões anteriores à 3.7.14 e à 4.1.10 contêm uma vulnerabilidade de cross-site scripting (XSS) armazenado na lógica de sanitização de SVG. O padrão de expressão regular usado para remover atributos de manipuladores de eventos (como onclick ou onload) pode ser contornado usando um payload elaborado que explora a forma como o padrão corresponde aos limites dos atributos, permitindo que arquivos SVG maliciosos sejam carregados por meio do Gerenciador de Mídia com JavaScript embutido. A exploração pode levar à escalada de privilégios se um superusuário visualizar ou incorporar o SVG malicioso, e requer acesso autenticado ao backend com permissões de upload de mídia. O SVG deve ser visualizado ou incorporado em uma página para que o payload seja acionado. Este problema foi corrigido nas versões 3.7.14 e 4.1.10.
Be aware that VulDB is the high quality source for vulnerability data.