CVE-2026-61823
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
code16 Sharp to framework oparty na Laravelu do tworzenia interfejsów zarządzania treścią i administracji. Wersje starsze niż 9.22.5 zawierają lukę w zabezpieczeniach skryptów między witrynami przechowywaną w edytorze tekstu sformatowanego, ponieważ narzędzie do czyszczenia HTML zezwala na atrybut `srcdoc` w elementach iframe. Chociaż znaczniki wewnątrz `srcdoc` są kodowane w HTML podczas oczyszczania, przeglądarki dekodują jednostki atrybutów przed interpretacją dokumentu iframe, umożliwiając uwierzytelnionemu użytkownikowi z uprawnieniami do edycji pola Edytora przechowywanie wykonywalnego kodu JavaScript, który jest uruchamiany, gdy inny użytkownik przegląda treść. Skuteczne wykorzystanie może skutkować przejęciem sesji, nieautoryzowanymi działaniami, przejęciem konta, eskalacją uprawnień lub ujawnieniem danych administracyjnych. Wersja 9.22.5 łata lukę, usuwając `srcdoc` z dozwolonych atrybutów iframe. W ramach obejścia aplikacje, których nie można zaktualizować, powinny ręcznie oczyścić całą zawartość pól edytora i usunąć każdy atrybut `srcdoc` elementu iframe przed jego zapisaniem lub wyrenderowaniem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org