CVE-2026-23695
Açıklama
Cockpit CMS 2.14.0 versiyonu ve öncesi (72a83fc commit'i ile düzeltildi), Set alan tipinin Display şablon seçeneğinde saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir; burada şablon dizesi, new Function() kullanan $interpolate fonksiyonu tarafından işlenmekte ve herhangi bir temizleme işlemi yapılmadan Vue'nun v-html direktifi aracılığıyla oluşturulmaktadır. content/:models/manage yetkisine sahip bir saldırgan, Display şablonuna rastgele JavaScript enjekte edebilir ve bu kod, koleksiyon öğeleri listesini görüntüleyen herhangi bir kullanıcının tarayıcısında çalışır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cockpit-hq/cockpitPackagist | v ≤ 2.14.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.