CVE-2026-73329
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
CamaleonCMS zawiera podatność na trwały atak XSS, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na wykonanie dowolnego JavaScriptu w przeglądarce administratora poprzez wstrzyknięcie niesanityzowanego kodu HTML do parametru tytułu posta podczas tworzenia szkicu. Atakujący mogą przesłać złośliwy kod HTML jako tytuł szkicu przez endpoint tworzenia szkiców, który jest zapisywany w bazie danych bez escapowania i później renderowany jako surowy HTML na liście szkiców administratora, umożliwiając przejęcie sesji administratora, kradzież ciasteczek i fałszowanie uwierzytelnionych żądań.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji administratora, kradzież danych uwierzytelniających i możliwość wykonywania nieautoryzowanych działań w systemie.
Rekomendacja
Zaleca się aktualizację CamaleonCMS do wersji z poprawką oraz wdrożenie odpowiedniego escapowania i sanityzacji danych wejściowych w parametrze tytułu posta.
Oryginalny opis (angielski, źródło NVD)
CamaleonCMS contains a stored cross-site scripting vulnerability that allows authenticated low-privileged users to execute arbitrary JavaScript in an administrator's browser by injecting unsanitized HTML payloads into the post title parameter during draft creation. Attackers can submit a malicious HTML payload as a draft title through the drafts creation endpoint, which is persisted to the database without escaping and later rendered as raw HTML in the admin drafts listing, enabling administrator session compromise, cookie theft, and forged authenticated requests.