CVE-2026-24838

DNN/DotNetNuke: XSS w tytule modułu umożliwia wykonanie skryptów

CVSS 9.1v3.1pub. 2026-01-28upd. 2026-02-04

Platforma CMS DNN (dawniej DotNetNuke) przed wersjami 9.13.10 i 10.2.0 zawiera podatność typu XSS w polu tytułu modułu, które obsługuje rich text. W określonych scenariuszach osadzony w tytule skrypt może zostać wykonany w przeglądarce ofiary.

▸ Pokaż oryginał (EN)

DNN (formerly DotNetNuke) is an open-source web content management platform (CMS) in the Microsoft ecosystem. Prior to versions 9.13.10 and 10.2.0, module title supports richtext which could include scripts that would execute in certain scenarios. Versions 9.13.10 and 10.2.0 contain a fix for the issue.

🤖 Analiza AI

Jak działa

Pole tytułu modułu w DNN akceptuje zawartość w formacie rich text, co pozwala na osadzenie złośliwego kodu JavaScript. W określonych scenariuszach renderowania strony osadzony skrypt jest wykonywany przez przeglądarkę użytkownika bez odpowiedniego oczyszczenia danych wejściowych. Podatność wymaga uprawnień administracyjnych (PR:H) do wstrzyknięcia payloadu, jednak jej skutki wykraczają poza kontekst atakującego (Scope:Changed).

Skutki

Atakujący posiadający uprawnienia administratora może wstrzyknąć złośliwy skrypt, który zostanie wykonany w kontekście przeglądarki innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub wycieku poufnych danych.

Mitygacja

Należy zaktualizować DNN do wersji 9.13.10 lub 10.2.0, które zawierają poprawkę eliminującą podatność. Szczegóły dostępne w referencjach producenta na GitHub Security Advisory.