CVE-2026-41147

NukeViet CMS çoklu bir İçerik Yönetim Sistemi'dir. 4.5.07 ve önceki sürümler, Request sınıfındaki yetersiz sunucu tarafı girdi temizleme işleminden kaynaklanan bir Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyeti içermektedir. Uygulama, kullanıcı tarafından gönderilen içerikteki HTML etiketlerini ve özniteliklerini temizlemek için öncelikle istemci tarafı filtrelemeye güvenmektedir; bu durum, HTTP isteklerinin doğrudan yakalanıp değiştirilmesiyle (örneğin Burp Suite kullanılarak) atlatılabilir. Bir saldırgan, sunucu tarafında saklanan ve içeriği görüntüleyen herhangi bir kullanıcının tarayıcısında yürütülen kötü amaçlı yükler enjekte edebilir. Kullanıcı tarafından gönderilen içeriği görüntüleyen herkes (iletişim mesajlarını veya yorumları inceleyen yöneticiler ve moderatörler gibi) etkilenir ve zafiyet, kimlik doğrulaması yapmamış herhangi bir anonim ziyaretçi tarafından istismar edilebilir; Contact modülü yalnızca kavram kanıtı (PoC) olarak kullanılmıştır. Potansiyel sonuçlar arasında çerez hırsızlığı yoluyla oturum çalma, kurbanın kimliği altında yetkisiz işlemler gerçekleştirme, sayfa içeriğinin değiştirilmesi (defacement) veya oltalama sayfalarına yönlendirme ve manipüle edilmiş e-posta bildirimleri aracılığıyla oltalama saldırıları yer almaktadır. Bu sorun 4.5.08 sürümünde düzeltilmiştir. Geliştiricilerin hemen yükseltme yapamamaları durumunda; tehlikeli etiketleri ve öznitelikleri (örneğin <iframe>, srcdoc, onerror/onload gibi olay işleyicileri) ayıklamak veya kodlamak için Request sınıfında sunucu tarafı HTML temizleme uygulayarak, satır içi betik yürütmeyi kısıtlamak için bir İçerik Güvenlik Politikası (CSP) zorunlu kılarak ve XSS yoluyla çerez hırsızlığını azaltmak için çerezleri HttpOnly bayrağı ile ayarlayarak bu sorunu geçici olarak çözmeleri gerekir.