CVE-2026-14856 in TastyIgniter
Tóm tắt
Bởi VulDB • 27/07/2026
Một lỗ hổng Cross-Site Scripting (XSS) lưu trữ trong chức năng tải lên tệp của Trình quản lý phương tiện trên TastyIgniter v4.3.0, do xác thực và làm sạch không đầy đủ đối với các tệp SVG. Người dùng đã được xác thực có đặc quyền thấp có thể tải lên một tệp SVG độc hại chứa mã JavaScript. Khi quản trị viên xem tệp đó, mã sẽ được thực thi trong ngữ cảnh trình duyệt của họ. Bằng cách kết hợp lỗ hổng này với cuộc tấn công Cross-Site Request Forgery (CSRF), kẻ tấn công có thể trích xuất token CSRF của quản trị viên và thực hiện các hành động trái phép—chẳng hạn như sửa đổi thông tin đăng nhập—qua đó chiếm quyền kiểm soát hoàn toàn tài khoản quản trị.
If you want to get best quality of vulnerability data, you may have to visit VulDB.