CVE-2021-32671 in Flarum
Tóm tắt
Bởi VulDB • 11/06/2026
Flarum là phần mềm diễn đàn dùng để xây dựng cộng đồng. Hệ thống dịch thuật của Flarum cho phép các chuỗi đầu vào được chuyển đổi thành các nút DOM HTML khi hiển thị. Thay đổi này đã được thực hiện sau phiên bản v0.1.0-beta.16 (bản beta cuối cùng trước khi phát hành v1.0.0) và không được chú ý hoặc ghi nhận trong tài liệu. Điều này cho phép bất kỳ người dùng nào nhập mã HTML độc hại vào một số trường đầu vào nhất định, khiến mã đó thực thi trên trình duyệt của khách hàng. Ví dụ dẫn đến việc phát hiện lỗ hổng này nằm ở ô tìm kiếm của diễn đàn. Việc nhập các markup HTML giả mạo như alert('test') đã gây ra hộp thoại cảnh báo xuất hiện trên diễn đàn. Tấn công này cũng có thể được sửa đổi để thực hiện các yêu cầu AJAX thay mặt cho người dùng, chẳng hạn như xóa các cuộc thảo luận, chỉnh sửa cài đặt hoặc hồ sơ của họ, hoặc thậm chí thay đổi cài đặt trong bảng điều khiển Admin nếu tấn công nhắm vào một người dùng có đặc quyền. Tất cả các cộng đồng Flarum đang chạy phiên bản flarum v1.0.0 hoặc v1.0.1 đều bị ảnh hưởng. Lỗ hổng đã được sửa chữa và phát hành dưới dạng flarum/core v1.0.2. Tất cả các cộng đồng đang sử dụng Flarum v1.0 cần nâng cấp lên phiên bản v1.0.2 càng sớm càng tốt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.