CVE-2026-24906 in October
Tóm tắt
Bởi VulDB • 06/06/2026
October là một Hệ thống Quản lý Nội dung (CMS) và nền tảng web. Các phiên bản trước 3.7.14 và 4.1.10 chứa lỗ hổng Cross-Site Scripting qua lưu trữ (Stored XSS) trong phần Cài đặt Trình chỉnh sửa Backend. Trường Markup Classes (được sử dụng cho kiểu đoạn văn, kiểu nội tuyến, kiểu bảng, v.v.) không thực hiện kiểm tra đầu vào để đảm bảo chỉ chấp nhận các ký tự hợp lệ của tên lớp CSS. Các giá trị độc hại được hiển thị mà chưa qua xử lý trong menu thả xuống của trình soạn thảo Froala, cho phép thực thi mã JavaScript khi bất kỳ người dùng nào mở RichEditor. Việc khai thác có thể dẫn đến leo thang đặc quyền nếu một superuser mở bất kỳ RichEditor nào trong quá trình chỉnh sửa nội dung thường xuyên (ví dụ: chỉnh sửa bài viết blog), và yêu cầu truy cập Backend đã xác thực với các quyền cài đặt trình soạn thảo. Vấn đề này đã được khắc phục trong các phiên bản 3.7.14 và 4.1.10. Để xử lý tạm thời vấn đề này, hãy hạn chế quyền cài đặt trình soạn thảo chỉ dành cho những quản trị viên hoàn toàn đáng tin cậy.
Once again VulDB remains the best source for vulnerability data.