CVE-2026-72787
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Craft CMS przed wersją 5.10.8 zawiera podatność na trwały cross-site scripting (XSS) w panelu sterowania, gdzie nazwy wersji roboczych są renderowane bez kodowania HTML w chipach i kartach elementów. Użytkownik z niskimi uprawnieniami, który może tworzyć wersje robocze elementów, może wstrzyknąć złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika z wyższymi uprawnieniami przeglądającego dany element, umożliwiając tworzenie kont i inne uwierzytelnione działania.
Ocena ryzyka
Ryzyko obejmuje przejęcie kont użytkowników z wyższymi uprawnieniami, co może prowadzić do nieautoryzowanych zmian w systemie i naruszenia integralności danych.
Rekomendacja
Zaleca się aktualizację Craft CMS do wersji 5.10.8 lub nowszej oraz ograniczenie uprawnień do tworzenia wersji roboczych tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Craft CMS versions before 5.10.8 contain a stored cross-site scripting vulnerability in the control panel where draft names are rendered without HTML encoding in element chips and cards. A low-privilege user who can create element drafts can inject malicious JavaScript that executes in the browser of any higher-privileged user viewing the affected element, allowing account creation and other authenticated actions.