CVE-2026-24906
Açıklama
October bir İçerik Yönetim Sistemi (CMS) ve web platformudur. 3.7.14 ve 4.1.10 öncesindeki sürümler, Backend Editor Settings kısmında Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyeti içermektedir. Markup Classes alanları (paragraf stilleri, satır içi stiller, tablo stilleri vb. için kullanılır), girdileri geçerli CSS sınıf adı karakterleri için temizlememektedir. Kötü niyetli değerler, Froala editörü açılır menülerinde temizlenmeden işlenmekte ve herhangi bir kullanıcı RichEditor'ü açtığında JavaScript yürütülmesine izin vermektedir. Bir süper kullanıcının rutin içerik düzenleme sırasında (örneğin, bir blog yazısını düzenlerken) herhangi bir RichEditor'ü açması durumunda bu durum yetki yükseltmeye yol açabilir; istismar için editör ayarları izinlerine sahip kimliği doğrulanmış arka uç erişimi gereklidir. Bu sorun 3.7.14 ve 4.1.10 sürümlerinde düzeltilmiştir. Bu sorunu gidermek için geçici çözüm olarak, editör ayarları izinlerini yalnızca tamamen güvenilen yöneticilerle sınırlandırın.
Nasıl düzeltilir
- october/system4.1.10, 3.7.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| octobercms october | v ≤ 3.7.13, 4.0.0 ≤ v ≤ 4.1.9 | — |
| october/systemPackagist | 4.0.0 ≤ v < 4.1.10, v < 3.7.14 | 4.1.10, 3.7.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.