CVE-2026-109307

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0 até 5.10.13

Descrição Um problema de cross-site scripting baseado em DOM existe no fluxo de login do painel de controle e verificação de 2FA. O problema ocorre porque a variável returnUrl, controlada pelo usuário, aceita URLs do tipo javascript: durante a navegação do lado do cliente. Um invasor pode enganar uma vítima com 2FA habilitado para abrir o endpoint '/admin/login?verify=1' especialmente manipulado entre a submissão da senha e a verificação de TOTP (Senha de Uso Único Baseada em Tempo). Isso permite a execução de JavaScript arbitrário dentro do painel de controle autenticado usando as permissões da vítima.

Recomendações Atualize o Craft CMS para a versão 5.10.14 ou posterior.