CVE-2026-61823
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
code16 Sharp, framework Laravel do budowy interfejsów CMS i administracyjnych, w wersjach przed 9.22.5 zawiera podatność typu stored XSS w edytorze rich-text, ponieważ sanityzator HTML zezwala na atrybut srcdoc w elementach iframe. Mimo że znaczniki wewnątrz srcdoc są kodowane podczas sanityzacji, przeglądarki dekodują encje atrybutów przed interpretacją dokumentu iframe, co pozwala uwierzytelnionemu użytkownikowi z prawem edycji pola Editor zapisać wykonywalny JavaScript uruchamiany u innych użytkowników. Wersja 9.22.5 usuwa srcdoc z dozwolonych atrybutów iframe.
Ocena ryzyka
Udana eksploatacja może prowadzić do przejęcia sesji, nieautoryzowanych działań, przejęcia konta, eskalacji uprawnień lub ujawnienia danych administracyjnych. Ryzyko dotyczy każdego użytkownika przeglądającego zainfekowaną treść.
Rekomendacja
Zaktualizuj code16 Sharp do wersji 9.22.5 lub nowszej. Jeśli aktualizacja nie jest możliwa, ręcznie sanityzuj całą treść pola Editor i usuń każdy atrybut srcdoc z iframe przed zapisem lub renderowaniem.
Inne podatności w code16 Sharp
Oryginalny opis (angielski, źródło NVD)
code16 Sharp is a Laravel-based framework for building content-management and administrative interfaces. Versions before 9.22.5 contain a stored cross-site scripting vulnerability in the rich-text editor because the HTML sanitizer permits the `srcdoc` attribute on iframe elements. Although markup inside `srcdoc` is HTML-encoded during sanitization, browsers decode attribute entities before interpreting the iframe document, allowing an authenticated user with permission to edit an Editor field to store executable JavaScript that runs when another user views the content. Successful exploitation can result in session hijacking, unauthorized actions, account takeover, privilege escalation, or disclosure of administrative data. Version 9.22.5 patches the vulnerability by removing `srcdoc` from the permitted iframe attributes. As a workaround, applications that cannot upgrade should manually sanitize all Editor field content and remove every iframe `srcdoc` attribute before storing or rendering it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS