Zaloguj się
Deutsch English Español Polski
Niska

October System module has a Reflected XSS via X-October-Request-Handler Header

  • Ujawniono: 26.06.2024
  • Aktualizacja: 11.10.2026 10:22

Impact

The X-October-Request-Handler Header does not sanitize the AJAX handler name and allows unescaped HTML to be reflected back. There is no impact since this vulnerability cannot be exploited through normal browser interactions. This unescaped value is only detectable when using a proxy interception tool.

Patches

This issue has been patched in v3.5.15.

References

Credits to:

For more information

If you have any questions or comments about this advisory:

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer october/system >= 3.2, < 3.5.15 3.5.15

Odnośniki

Ocena CVSS 3.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
october/system
Ujawniono
26.06.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-rjw8-v7rr-r563 - CC BY 4.0

Historia podatności: october/system

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (25) w archiwum
Wszystkich wpisów
25
Pierwsza → ostatnia
06.2020 09.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 1
  • Wysoka 8
  • Średnia 9
  • Niska 7

Ujawnienia w latach

Istotność:
  1. October System module has a Reflected XSS via X-October-Request-Handler Header ten wpis
    Niska · 3.1 CVE-2024-25637 >= 3.2, < 3.5.15 3.5.15
  2. October CMS safe mode bypass using Twig sandbox escape
    Krytyczna · 9.1 CVE-2023-44382 >= 3.0.0, < 3.4.15 3.4.15
  3. October CMS Safe Mode bypass leads to authenticated Remote Code Execution
    Wysoka · 7.2 CVE-2022-35944 >= 2.0.0, < 2.2.34, >= 3.0.0, < 3.0.66 2.2.34, 3.0.66
  4. October CMS upload process vulnerable to RCE via Race Condition
    Wysoka · 8.1 CVE-2022-24800 < 1.0.476, >= 1.1.0, < 1.1.12, >= 2.0.0, < 2.2.15 1.0.476, 1.1.12, 2.2.15
  5. Authenticated remote code execution in October CMS
    Wysoka · 7.2 CVE-2022-21705 < 1.0.474, >= 1.1.0, < 1.1.10, >= 2.0.0, < 2.1.27 1.0.474, 1.1.10, 2.1.27
  6. october/system arbitrary code execution
    Wysoka · 8.8 CVE-2021-32650 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
  7. October/System authenticated file write leads to remote code execution
    Wysoka · 8.8 CVE-2021-32649 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
  8. Deleted Admin Can Sign In to Admin Interface
    Wysoka · 7.2 CVE-2021-41126 >= 2.1.0, < 2.1.12 2.1.12
  9. October CMS auth bypass and account takeover
    Wysoka · 7.4 CVE-2021-29487 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5
  10. Account Takeover in Octobercms
    Wysoka · 8.2 Wykorzystywana w atakach CVE-2021-32648 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.