CVE-2026-67617
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Microweber CMS do wersji 2.0.20 zawiera podatność na trwałe XSS w systemie tagowania treści. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript przez parametr tag_names w endpoint GET /api/save_content_admin, omijając trzy niezależne mechanizmy sanityzacji. Wstrzyknięty skrypt wykonuje się bez interakcji użytkownika dla każdego odwiedzającego publiczną stronę bloga oraz w edytorze postów admina.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykraść dane uwierzytelniające lub wykonać nieautoryzowane działania w kontekście sesji ofiary, wykorzystując token CSRF osadzony na stronie.
Rekomendacja
Należy zaktualizować Microweber CMS do najnowszej dostępnej wersji, która usuwa tę podatność, lub zastosować odpowiednie łatki bezpieczeństwa.
Inne podatności w Microweber CMS
Zobacz wszystkie- CVE-2014-9464Wysokie
W Microweber CMS w wersji 0.95 przed 20141209 występuje podatność na wstrzykiwanie SQL w pliku Category.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr category.
- CVE-2026-65693Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Uwierzytelniony administrator może uzyskać zdalne wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie wyrażeń Twig do szablonów poczty.
- CVE-2026-65694Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność path traversal w kontrolerze plików statycznych. Nieuwierzytelniony atakujący może odczytać dowolne pliki, podając sekwencje traversal w parametrze path.
Oryginalny opis (angielski, źródło NVD)
Microweber CMS through 2.0.20 contains a stored cross-site scripting vulnerability in the content tagging system that allows admin-authenticated attackers to inject arbitrary JavaScript by submitting malicious payloads via the tag_names parameter of the GET /api/save_content_admin endpoint, bypassing three independent sanitization controls including XSS middleware that ignores GET requests, a strip_unsafe() function that only matches double-quoted onerror attributes, and a titlecase normalizer that passes HTML decimal entity-encoded payloads through unchanged. Attackers can store malicious scripts that execute without user interaction for every visitor to the public blog page and within the admin post editor, enabling session riding through same-origin fetch requests using the CSRF token embedded in the page.