Zaloguj się
Deutsch English Español Polski
Wysoka

Statamic Vulnerable to Superadmin Account Takeover via Stored Cross-Site Scripting and Lack of Proper X-CSRF-TOKEN Server-Side Validation

  • Ujawniono: 30.10.2025
  • Aktualizacja: 11.10.2026 10:22

Impact

Stored XSS vulnerabilities in Collections and Taxonomies allow authenticated users with content creation permissions to inject malicious JavaScript that executes when viewed by higher-privileged users.

This affects:

  • Control panel users with permission to create or edit Collections and Taxonomies
  • Versions up to and including 5.22.0

The vulnerability can be exploited to:

  • Change a super admin's password (versions ≤ 5.21.0)
  • Change a super admin's email address to initiate password reset (version 5.22.0)
  • Gain unauthorized access to superadmin accounts

The attack requires:

  • An authenticated user with control panel and content creation permissions
  • A super admin to view the compromised content

Patches

This has been fixed in 5.22.1.

Credits

Statamic thanks Wojtek Chwala for responsibly reporting the identified issues and working with us as we addressed them.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer statamic/cms < 5.22.1 5.22.1

Odnośniki

Ocena CVSS 8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
statamic/cms
Ujawniono
30.10.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-g59r-24g3-h7cm - CC BY 4.0

Historia podatności: statamic/cms

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (44) w archiwum
Wszystkich wpisów
44
Pierwsza → ostatnia
03.2022 08.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 15
  • Średnia 25
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Statamic: Account takeover via OAuth email matching without email-verification check
    Wysoka · 8.1 CVE-2026-64665 < 5.74.1, >= 6.0.0, < 6.24.0 5.74.1, 6.24.0
  2. Statamic CMS's unsafe method invocation via collection sorting allows data destruction
    Wysoka · 7.4 CVE-2026-49287 < 5.73.23, >= 6.0.0, < 6.20.0 5.73.23, 6.20.0
  3. Statamic: Unsafe method invocation via query value resolution allows data destruction
    Wysoka · 8.1 CVE-2026-41175 < 5.73.20, >= 6.0.0-alpha.1, < 6.13.0 5.73.20, 6.13.0
  4. Statamic has Stored XSS via SVG Sanitization Bypass
    Wysoka · 8.7 CVE-2026-33172 >= 6.0.0-alpha.1, < 6.7.0, < 5.73.14 6.7.0, 5.73.14
  5. Statamic vulnerable to privilege escalation via stored cross-site scripting
    Wysoka · 8.7 CVE-2026-28426 < 5.73.11, >= 6.0.0-alpha.1, < 6.4.0 5.73.11, 6.4.0
  6. Statamic vulnerable to remote code execution via Antlers-enabled control panel inputs
    Wysoka · 8.0 CVE-2026-28425 < 5.73.16, >= 6.0.0-alpha.1, < 6.7.2 5.73.16, 6.7.2
  7. Statamic allows Authenticated Control Panel users to escalate privileges via elevated session bypass
    Wysoka · 8.8 CVE-2026-27939 >= 6.0.0, < 6.4.0 6.4.0
  8. Statamic is vulnerable to account takeover via password reset link injection
    Krytyczna · 9.3 CVE-2026-27593 < 5.73.10, >= 6.0.0-alpha.1, < 6.7.1 5.73.10, 6.7.1
  9. Statamic affected by privilege escalation via stored cross-site scripting
    Wysoka · 8.1 CVE-2026-27196 >= 6.0.0-alpha.1, < 6.3.2, < 5.73.9 6.3.2, 5.73.9
  10. Statamic CMS vulnerable to privilege escalation via stored cross-site scripting
    Wysoka · 8.7 CVE-2026-25759 >= 6.0.0, < 6.2.3 6.2.3
  11. Statamic Vulnerable to Superadmin Account Takeover via Stored Cross-Site Scripting and Lack of Proper X-CSRF-TOKEN Server-Side Validation ten wpis
    Wysoka · 8.0 CVE-2025-64112 < 5.22.1 5.22.1
  12. Statmic CMS vulnerable to account takeover via XSS and password reset link
    Wysoka · 8.2 CVE-2024-24570 >= 4.00, < 4.46.0, < 3.4.17 4.46.0, 3.4.17
  13. Cross-site Scripting via uploaded assets
    Wysoka · 7.5 CVE-2023-48701 < 3.4.15, >= 4.0.0, < 4.36.0 3.4.15, 4.36.0
  14. Statamic CMS vulnerable to remote code execution via form uploads
    Wysoka · 8.8 CVE-2023-48217 >= 4.0.0, < 4.34.0, < 3.4.14 4.34.0, 3.4.14
  15. Statamic CMS remote code execution via front-end form uploads
    Wysoka · 8.3 CVE-2023-47129 >= 4.0.0, < 4.33.0, < 3.4.13 4.33.0, 3.4.13
  16. Statamic framework Incorrect Permission Assignment
    Wysoka · 8.8 CVE-2017-11422 < 2.6.0 2.6.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.