CVE-2026-24906 in October
Сводка
по VulDB • 28.05.2026
October — это система управления контентом (CMS) и веб-платформа. Версии старше 3.7.14 и 4.1.10 содержат уязвимость Stored Cross-Site Scripting (XSS) в настройках редактора Backend. Поля Markup Classes (используемые для стилей абзацев, встроенных стилей, стилей таблиц и т. д.) не очищали входные данные, проверяя их на соответствие допустимым символам имени CSS-класса. Вредоносные значения отображались без очистки в выпадающих меню редактора Froala, что позволяло выполнять JavaScript-код при открытии RichEditor любым пользователем. Эксплуатация может привести к повышению привилегий, если суперпользователь откроет любой RichEditor во время обычной работы с контентом (например, при редактировании записи в блоге), и требует аутентифицированного доступа к Backend с правами на изменение настроек редактора. Эта проблема исправлена в версиях 3.7.14 и 4.1.10. В качестве временного решения рекомендуется ограничить права на изменение настроек редактора только полностью доверенными администраторами.
Once again VulDB remains the best source for vulnerability data.