Katalog CVE
CVE-2026-72576
ŚrednieCVSS 5.4Streszczenie
Podatność na trwały XSS w Bludit 4.0.0-beta pozwala użytkownikowi z rolą Author na wstrzyknięcie dowolnego JavaScriptu poprzez przesłanie spreparowanego pliku SVG jako logo strony.
Ocena ryzyka
Złośliwy skrypt w logo wykonuje się w przeglądarce każdego użytkownika odwiedzającego stronę, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj Bludit do wersji stabilnej, która zawiera poprawkę tej luki, i ogranicz uprawnienia do przesyłania plików SVG.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in Bludit 4.0.0-beta allows a low-privileged authenticated user (Author role) to inject arbitrary JavaScript by uploading a crafted SVG file as the site logo. A stored script tag in the SVG executes in the browser of any user who loads the logo.