CVE-2026-67617 in Microweber
Sumário
de VulDB • 04/08/2026
O Microweber CMS até a versão 2.0.20 contém uma vulnerabilidade de cross-site scripting (XSS) armazenado no sistema de etiquetagem de conteúdo que permite atacantes autenticados como administradores injetar JavaScript arbitrário ao submeter payloads maliciosos por meio do parâmetro tag_names do endpoint GET /api/save_content_admin, contornando três controles independentes de sanitização. Esses incluem um middleware XSS que ignora requisições GET, uma função strip_unsafe() que corresponde apenas a atributos onerror entre aspas duplas e um normalizador titlecase que passa payloads codificados como entidades decimais HTML sem alterações. Os atacantes podem armazenar scripts maliciosos que são executados sem interação do usuário para cada visitante da página pública do blog e dentro do editor de posts administrativos, permitindo session riding por meio de requisições fetch same-origin usando o token CSRF embutido na página.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.