CVE-2026-121976

Nome do Software Vulnerável e Versões Afetadas Modula versões anteriores a 3.0.18

Descrição Ocorre Cross-Site Scripting Armazenado através do parâmetro items. O problema decorre da sanitização insuficiente do campo link por imagem no manipulador REST save merged items() e na função ImagesAdapter::normalize item row(), que preserva chaves desconhecidas literalmente. Além disso, a função Modula Helper::generate attributes() aplica apenas esc attr() ao href da âncora resultante e não remove o esquema de URL javascript:. Isso permite que atacantes autenticados com nível de acesso de Autor ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada e clicar no bloco da galeria.

Recomendações Atualize para a versão 3.0.18 ou posterior. Como mitigação temporária, restrinja o acesso de nível de Autor às configurações da galeria para evitar a injeção de links maliciosos no parâmetro items.