CVE-2026-31833

Orta

Açıklama

Umbraco bir ASP.NET CMS'dir. 16.2.0 ile 16.5.1 ve 17.2.2 sürümleri arasında, Settings erişimine sahip kimliği doğrulanmış bir backoffice kullanıcısı, özellik tipi açıklamalarına kötü amaçlı HTML enjekte edebilir. UFM DOMPurify örneğindeki aşırı izin verici attributeNameCheck yapılandırması (/.+/) nedeniyle, Umbraco web bileşenleri (umb-*, uui-*, ufm-*) içinde kullanıldığında onclick ve onload gibi olay işleyici öznitelikleri filtrelenmemiştir. Bu güvenlik açığı 16.5.1 ve 17.2.2 sürümlerinde giderilmiştir.

ÖnemOrta

CVSS6.7

İstismar olasılığı—

Ürün

Umbraco Cms

Yayın10 Mar 2026

İlk görülme10 Mar 2026

Zayıflık türüCWE-79Siteler arası betik (XSS)

Nasıl düzeltilir

Güncelleyin

umbraco umbraco_cms16.5.1, 17.2.2 ya da sonraki bir sürüm
Umbraco.Cms16.5.1, 17.2.2 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
umbraco umbraco_cms	16.2.0 ≤ v < 16.5.1, 17.0.0 ≤ v < 17.2.2	16.5.1, 17.2.2
Umbraco.CmsNuGet	16.2.0 ≤ v < 16.5.1, 17.0.0 ≤ v < 17.2.2	16.5.1, 17.2.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.