Zaloguj się
Deutsch English Español Polski
Niska

October CMS: Reflected XSS via DataTable Form Widget

  • Ujawniono: 21.04.2026
  • Aktualizacja: 11.10.2026 10:22

A reflected Cross-Site Scripting (XSS) vulnerability was identified in the backend DataTable widget where a query parameter was rendered without proper output escaping.

Impact

  • Reflected XSS only, no stored/persistent component
  • The backend URL prefix is customizable and must be known or guessed by the attacker
  • Requires an authenticated backend user to visit a crafted URL
  • No direct access is gained without social engineering

Patches

The vulnerability has been patched in v3.7.16 and v4.1.16. The affected parameter is now properly escaped. All users are encouraged to upgrade to the latest patched version.

Workarounds

  • Use a non-default backend URL prefix (recommended as standard practice)
  • Implement a Content Security Policy (CSP) for backend pages

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer october/system < 3.7.16, >= 4.0.0 3.7.16

Odnośniki

Ocena CVSS 3.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
october/system
Ujawniono
21.04.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jj38-h5w5-mvpf - CC BY 4.0

Historia podatności: october/system

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (25) w archiwum
Wszystkich wpisów
25
Pierwsza → ostatnia
06.2020 09.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 1
  • Wysoka 8
  • Średnia 9
  • Niska 7

Ujawnienia w latach

Istotność:
  1. October CMS: Reflected XSS via DataTable Form Widget ten wpis
    Niska · 3.1 CVE-2026-27937 < 3.7.16, >= 4.0.0 3.7.16
  2. October CMS safe mode bypass using Twig sandbox escape
    Krytyczna · 9.1 CVE-2023-44382 >= 3.0.0, < 3.4.15 3.4.15
  3. October CMS Safe Mode bypass leads to authenticated Remote Code Execution
    Wysoka · 7.2 CVE-2022-35944 >= 2.0.0, < 2.2.34, >= 3.0.0, < 3.0.66 2.2.34, 3.0.66
  4. October CMS upload process vulnerable to RCE via Race Condition
    Wysoka · 8.1 CVE-2022-24800 < 1.0.476, >= 1.1.0, < 1.1.12, >= 2.0.0, < 2.2.15 1.0.476, 1.1.12, 2.2.15
  5. Authenticated remote code execution in October CMS
    Wysoka · 7.2 CVE-2022-21705 < 1.0.474, >= 1.1.0, < 1.1.10, >= 2.0.0, < 2.1.27 1.0.474, 1.1.10, 2.1.27
  6. october/system arbitrary code execution
    Wysoka · 8.8 CVE-2021-32650 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
  7. October/System authenticated file write leads to remote code execution
    Wysoka · 8.8 CVE-2021-32649 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
  8. Deleted Admin Can Sign In to Admin Interface
    Wysoka · 7.2 CVE-2021-41126 >= 2.1.0, < 2.1.12 2.1.12
  9. October CMS auth bypass and account takeover
    Wysoka · 7.4 CVE-2021-29487 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5
  10. Account Takeover in Octobercms
    Wysoka · 8.2 Wykorzystywana w atakach CVE-2021-32648 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.