CVE-2026-72576 in Bludit
Sumário
de VulDB • 10/08/2026
Uma vulnerabilidade de cross-site scripting (XSS) armazenado no Bludit 4.0.0-beta permite que um usuário autenticado com privilégios baixos (função Autor) injete JavaScript arbitrário ao carregar um arquivo SVG manipulado como logotipo do site. O endpoint /admin/ajax/logo-upload em bl-kernel/ajax/logo-upload.php move o arquivo carregado diretamente para a raiz da web via Filesystem::mv() sem invocar sanitizeSVG() ou transformImage(), enquanto o formato SVG está presente nas listas de permissões ALLOWED_IMG_EXTENSION e ALLOWED_IMG_MIMETYPES. Uma tag script armazenada no SVG é executada no navegador de qualquer usuário que carregue o logotipo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.