anonhaven
Ad

CVE-2026-92590

MEDIUM CVSS 4.0: 5,1 EPSS 0.14%
Обновлено 19 сентября 2026
Craftcms
Параметр Значение
CVSS 5,1 (MEDIUM)
Уязвимые версии 5.7.0 — 5.10.13
Устранено в версии 5.10.13
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик Craftcms
Публичный эксплойт Нет

Craft CMS versions from 5.7.0 before 5.10.13 contain a stored cross-site scripting vulnerability in the Generated Fields feature that disables Twig autoescaping and fails to encode cached values. Content editors can inject malicious JavaScript through editable fields that executes in authenticated Control Panel sessions of higher-privileged users viewing element indexes.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-79 Cross-Site Scripting (XSS) (Межсайтовый скриптинг (XSS))

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Craftcms Craft_Cms
cpe:2.3:a:craftcms:craft_cms:*:*:*:*:*:*:*:*
 5.7.0 5.10.13

Ссылки 2

https://github.com/craftcms/cms/security/advisories/GHSA-h9jh-v8vc-m5rp
GitHub Security Advisory (GHSA-h9jh-v8vc-m5rp)
https://www.vulncheck.com/advisories/craft-cms-5.7.0-before-5.10.13-stored-xss-…
VulnCheck Advisory: Craft CMS 5.7.0 before 5.10.13 Stored XSS via Generated Fields
Share Post Share Share Share

Связанные уязвимости

CVE-2026-92594

Craftcms

8,7

CVE-2026-92593

Oracle

8,7

CVE-2026-92592

PHP

8,7

CVE-2026-92591

MySQL

8,2

CVE-2026-92589

Craftcms

5,3