CVE-2026-67617
Açıklama
Microweber CMS 2.0.20 sürümüne kadar, içerik etiketleme sisteminde depolanmış siteler arası betik çalıştırma (XSS) güvenlik açığı bulunmaktadır. Bu açık, yönetici kimlik doğrulamasına sahip saldırganların GET /api/save_content_admin uç noktasının tag_names parametresi aracılığıyla zararlı yükler göndererek rastgele JavaScript enjekte etmesine olanak tanır. Saldırganlar, GET isteklerini yok sayan XSS ara yazılımı, yalnızca çift tırnaklı onerror nitelikleriyle eşleşen strip_unsafe() işlevi ve HTML ondalık varlık kodlu yükleri değiştirmeden geçiren titlecase normalleştiricisi dahil olmak üzere üç bağımsız temizleme kontrolünü atlatabilir. Saldırganlar, genel blog sayfasını ziyaret eden her kullanıcı ve yönetici gönderi düzenleyicisi içinde kullanıcı etkileşimi olmadan çalışan zararlı betikler depolayabilir; bu da sayfaya gömülü CSRF belirteci kullanılarak aynı kaynaklı fetch istekleri aracılığıyla oturum ele geçirmeye (session riding) olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microweber microweber | v ≤ 2.0.20 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.