Уязвимость была обнаружена в sergix44 XBackBone до 3.8.2. Влияет функция MediaController::getRawById файла app/Controllers/MediaController.php. Манипуляция приводит к кросс-сайту скриптов.
Запустить атаку можно дистанционно. Эксплойт был обнародован и может быть использован. Запрос на исправление этой проблемы ожидает принятия.
Показать оригинальное описание (EN)
A vulnerability was found in sergix44 XBackBone up to 3.8.2. Impacted is the function MediaController::getRawById of the file app/Controllers/MediaController.php. The manipulation results in cross site scripting. It is possible to launch the attack remotely. The exploit has been made public and could be used. The pull request to fix this issue awaits acceptance.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 6
https://github.com/sergix44/xbackbone/
cna@vuldb.com
https://github.com/sergix44/xbackbone/pull/673
cna@vuldb.com
https://vuldb.com/cve/CVE-2026-129267
cna@vuldb.com
https://vuldb.com/submit/1043413
cna@vuldb.com
https://vuldb.com/vuln/437311
cna@vuldb.com
https://vuldb.com/vuln/437311/cti
cna@vuldb.com