CVE-2026-82387

Apache Roller 6.1.5 sürümünde, web sayfası oluşturma sırasında girdinin uygun şekilde etkisiz hale getirilmemesi ('Siteler Arası Betik Çalıştırma (XSS)'), medya yükleme haklarına sahip bir kullanıcının Roller kökeninde aktif içerik depolamasına izin verir; çünkü medya yükleme özelliği, yükleme ile sağlanan içerik türüne güvenir ve depolanan dosyayı bu türle geri sunar. Yüklenen dosyayı açan bir kurban, depolanan betiği çalıştırır. Medya yüklemeleri varsayılan olarak devre dışıdır; yalnızca bunları etkinleştiren kurulumlar etkilenir ve beraberinde gelen tür kısıtlamaları, yüklemeler açık olduğunda aktif içeriği engellemez. Kullanıcıların, depolanan türü dosya içeriğinden türeten ve resim olmayan medyaları indirme olarak sunan Apache Roller 6.1.6 veya daha yeni bir sürüme yükseltmeleri önerilir.