CVE-2026-25133
Açıklama
October bir İçerik Yönetim Sistemi (CMS) ve web platformudur. 3.7.14 ve 4.1.10 öncesindeki sürümler, SVG temizleme mantığında saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Olay işleyici öznitelikleri (onclick veya onload gibi) kaldırmak için kullanılan regex deseni, desenin öznitelik sınırlarını eşleştirme biçimini istismar eden özel olarak hazırlanmış bir yükle atlatılabilir; bu durum, gömülü JavaScript içeren kötü amaçlı SVG dosyalarının Media Manager üzerinden yüklenmesine olanak tanır. Bir süper kullanıcı kötü amaçlı SVG'yi görüntülerse veya gömerse, bu durum yetki yükseltmeye yol açabilir ve medya yükleme izinlerine sahip kimliği doğrulanmış arka uç erişimi gerektirir. Yükün tetiklenmesi için SVG'nin görüntülenmesi veya bir sayfaya gömülmesi gerekir. Bu sorun 3.7.14 ve 4.1.10 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- october/rain4.1.10, 3.7.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| octobercms october | v ≤ 3.7.13, 4.0.0 ≤ v ≤ 4.1.9 | — |
| october/rainPackagist | 4.0.0 ≤ v < 4.1.10, v < 3.7.14 | 4.1.10, 3.7.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.