PT-2026-126368

CVE-2026-117533

Publicado

2026-10-27

Atualizado

2026-10-27

Descrição por

CVSS 3.1

4.4

Média

MétricasAV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas REDAXO versões 5.18.0 até 5.21.3

Descrição Um problema de cross-site scripting armazenado existe porque o rex media service move arquivos SVG carregados para a pasta de mídia pública antes que o processo de sanitização seja concluído. Usuários autenticados com permissões de upload no mediapool podem explorar isso ao competir com o sanitizador ou esgotar os limites de memória, permitindo que scripts maliciosos dentro de arquivos SVG sejam servidos publicamente e executados nas sessões de backend de outros usuários.

Recomendações Atualize o REDAXO para a versão 5.21.4 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Alham-Rizvi

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados