CVE-2026-18478
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Magnolia CMS jest podatny na trwały XSS w funkcji importu. Atakujący z uprawnieniami edytora może wstrzyknąć dowolny HTML i JS do nazwy przesłanego obrazu, który zostanie wyrenderowany/wykonany podczas otwierania przesłanego obrazu. Problem został naprawiony w wersji 6.3.10.
Ocena ryzyka
Ryzyko wykonania złośliwego skryptu w przeglądarce administratora, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaleca się aktualizację do wersji 6.3.10 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Magnolia CMS is vulnerable to Stored XSS in import functionality. An attacker with editor privileges can inject arbitrary HTML and JS into the name of uploaded image, which will be rendered/executed when opening uploaded image. The issue was fixed in version 6.3.10