CVE-2024-45965

Contao versão 5.4.1

A vulnerabilidade permite que uma conta de administrador autenticada faça o upload de um arquivo SVG contendo código JavaScript malicioso para o sistema alvo. Se o arquivo for acessado através do site, isso pode resultar em um ataque de Cross-Site Scripting (XSS) ou na execução de código arbitrário por meio de um JavaScript malicioso no sistema alvo.

Para a versão 5.4.1 do Contao, considere desativar o recurso de upload de arquivos SVG para contas de administrador até que uma correção esteja disponível, a fim de evitar possíveis ataques de Cross-Site Scripting (XSS) ou a execução de código arbitrário. Restrinja o acesso ao módulo de upload de arquivos para minimizar o risco de exploração. Evite acessar arquivos SVG enviados por contas de administrador através do site até que o problema seja resolvido.