CVE-2026-72576

Nome do Software Vulnerável e Versões Afetadas Bludit versão 4.0.0-beta

Description Um problema de cross-site scripting (XSS) armazenado permite que um usuário autenticado com baixos privilégios (função de Autor) injete JavaScript arbitrário. Isso ocorre quando um arquivo SVG manipulado é enviado como logotipo do site através do endpoint '/admin/ajax/logo-upload' em bl-kernel/ajax/logo-upload.php. O sistema move o arquivo enviado para a raiz da web usando a função Filesystem::mv() sem invocar sanitizeSVG() ou transformImage(), embora o SVG esteja presente nas listas de permissão ALLOWED IMG EXTENSION e ALLOWED IMG MIMETYPES. Consequentemente, uma tag de script armazenada no SVG é executada no navegador de qualquer usuário que carregar o logotipo.

Recommendations Como medida de mitigação temporária, restrinja o uso do endpoint '/admin/ajax/logo-upload' ou remova o SVG das listas de permissão ALLOWED IMG EXTENSION e ALLOWED IMG MIMETYPES. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.