Към съдържанието
Търсене

CVE-2026-26067: octobercms october, заобикаляне на вход и права

4.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

October is a Content Management System (CMS) and web platform. Prior to 3.7.14 and 4.1.10, a server-side information disclosure vulnerability was identified in the handling of CSS preprocessor files. Backend users with Editor permissions could craft .less, .sass, or .scss files that leverage the compiler's import functionality to read arbitrary files from the server. This worked even with cms.safe_mode enabled. This vulnerability is fixed in 3.7.14 and 4.1.10.

Засегнати продукти

  • octobercms october: >= 4.0.0, < 4.1.10; < 3.7.14

Вид слабост

История

  • 21 април 2026 Публикувано

Други уязвимости в octobercms october

Първоизточници

CVE-2026-26067: octobercms october, заобикаляне на вход и права | freedomonline.bg