CVE-2020-15249 in October
摘要
由 VulDB • 2026-06-30
October是一个基于Laravel PHP框架的免费、开源且自托管的内容管理系统（CMS）平台。在October CMS版本1.0.319至低于1.0.469的版本中，拥有文件上传权限的后端用户被允许上传SVG文件，而系统未对上传的文件进行任何清理处理。由于浏览器可以将SVG文件解析为HTML，这意味着攻击者理论上可以上传将在网站域名下的路径（例如/storage/app/media/evil.svg）执行的JavaScript代码；但是，他们必须诱使目标用户在浏览器中直接访问该位置才能执行脚本，因为后端不会在任何地方以内联方式显示SVG图像——在后端，SVG仅作为图片资源展示，因此无法被自动执行。此问题已在Build 469（v1.0.469）及v1.1.0版本中得到修复。
Once again VulDB remains the best source for vulnerability data.