Średnia

Contao: Insufficient BBCode sanitizer

Ujawniono: 09.04.2024
Aktualizacja: 11.10.2026 10:22

Impact

If BBCode is enabled for comments, users can inject CSS styles.

Patches

Update to Contao 4.13.40 or 5.3.4.

Workarounds

Disable BBCode for comments.

References

https://contao.org/en/security-advisories/insufficient-bbcode-sanitization

For more information

If you have any questions or comments about this advisory, open an issue in contao/contao.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	contao/comments-bundle	>= 2.0.0, < 4.13.40, >= 5.0.0-RC1, < 5.3.4	4.13.40, 5.3.4

Odnośniki

Ocena CVSS 4.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Słabość (CWE): CWE-74
Platforma: Composer
Paczka: contao/comments-bundle
Ujawniono: 09.04.2024
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-j55w-hjpj-825g - CC BY 4.0

Historia podatności: contao/comments-bundle

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 04.2024 10.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Średnia 1

Ujawnienia w latach

2024: 1
2025: 0
2026: 1

09.10.2026

Contao: Cross-site scripting w module comments-bundle

Krytyczna · 9.3 CVE-2026-107845 >= 4.0.0, < 5.3.50, >= 5.4.0-RC1, < 5.7.12 5.3.50, 5.7.12
09.04.2024

Contao: Insufficient BBCode sanitizer ten wpis

Średnia · 4.3 CVE-2024-28234 >= 2.0.0, < 4.13.40, >= 5.0.0-RC1, < 5.3.4 4.13.40, 5.3.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację