CVE-2026-41524
WysokieStreszczenie
Brave CMS przed poprawką 6c56603 przechowywał treści stron i artykułów wprowadzane przez użytkowników z rolą edytora w CKEditorze w bazie danych bez żadnej obróbki. W rezultacie, wszelkie wstrzyknięte przez nich JavaScript lub HTML były na stałe przechowywane i wykonywane w przeglądarkach odwiedzających stronę.
Ocena ryzyka
Organizacja jest narażona na ataki typu XSS, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Wykorzystanie tej podatności może również zaszkodzić reputacji organizacji.
Rekomendacja
Zaleca się aktualizację Brave CMS do wersji zawierającej poprawkę 6c56603 oraz przeglądanie i usuwanie potencjalnie złośliwych treści w bazie danych.
Inne podatności w Brave CMS
Zobacz wszystkie- CVE-2026-41576Wysokie
Brave CMS przed poprawką 6c56603 miał formularz kontaktowy dostępny publicznie, co pozwalało na wstrzykiwanie niebezpiecznego HTML do treści e-maili. Użytkownik dostarczony tekst wiadomości był przetwarzany przez funkcję nl2br(), która nie sanitizowała HTML, co umożliwiało atakującym tworzenie phishingowych interfejsów w e-mailach wysyłanych do administratora.
- CVE-2026-35183Wysokie
Podatność IDOR w mechanizmie usuwania obrazków artykułów w Brave CMS przed wersją 2.0.6. Metoda deleteImage w ArticleController.php akceptuje nazwę pliku z URL bez weryfikacji własności, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami edycji usuwać obrazki przypisane do artykułów innych użytkowników.
- CVE-2026-35182Wysokie
W Brave CMS przed wersją 2.0.6 brakuje autoryzacji w endpointcie /rights/update-role/{id}. Każdy uwierzytelniony użytkownik może zmienić role kont i promować się do Super Admina.
Oryginalny opis (angielski, źródło NVD)
Brave CMS is an open-source CMS. Prior to commit 6c56603, page and article body content entered through the CKEditor rich-text editor is stored verbatim in the database and subsequently rendered with Laravel Blade's unescaped output directive {!! !!}. Any JavaScript or HTML injected by an editor-role user is permanently stored and executed in every visitor's browser upon page load. This issue has been patched via commit 6c56603.