CVE-2025-27801

Optimizely tarafından geliştirilen Episerver Content Management System (CMS), birden fazla Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetinden etkilenmiştir. Bu durum, kimliği doğrulanmış bir saldırganın kurbanın tarayıcısında kötü amaçlı JavaScript kodu çalıştırmasına olanak tanımıştır. CMS'in "Edit" bölümünde kullanılabilen ContentReference özellikleri, belgeler için bir yükleme işlevi sunmaktaydı. Bu belgeler daha sonra sayfada görüntülenen içerikler olarak kullanılabiliyordu. Bir kullanıcı önizleme görüntüsünün doğrudan URL'sini ziyaret ettiğinde çalışacak kötü amaçlı JavaScript kodu içeren SVG dosyalarının yüklenmesi mümkündü. Saldırganların bu sorunu istismar edebilmeleri için en az "WebEditor" rolüne sahip olmaları gerekiyordu. Etkilenen ürünler: Versiyon 11.X: EPiServer.CMS.Core (<11.21.4) ile EPiServer.CMS.UI (<11.37.5), Versiyon 12.X: EPiServer.CMS.Core (<12.22.1) ile EPiServer.CMS.UI (<11.37.3)