PT-2025-31057 · Optimizely · Episerver.Cms.Core+2
F. Beie
+1
·
Publicado
2025-07-28
·
Atualizado
2025-07-29
·
CVE-2025-27801
CVSS v3.1
4.8
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Episerver CMS da Optimizely versões anteriores a 11.21.4 e anteriores a 11.37.5
Episerver CMS da Optimizely versões anteriores a 12.22.1 e anteriores a 11.37.3
Descrição
O Sistema de Gerenciamento de Conteúdo (CMS) Episerver da Optimizely foi afetado por múltiplas vulnerabilidades de Cross-Site Scripting (XSS) Armazenado. Isso permitiu que um atacante autenticado executasse código JavaScript malicioso no navegador da vítima. As propriedades ContentReference, que podiam ser usadas na seção "Edit" do CMS, ofereciam uma funcionalidade de upload de documentos. Esses documentos poderiam ser usados posteriormente como conteúdo exibido na página. Era possível fazer upload de arquivos SVG que incluíam código JavaScript malicioso que seria executado se um usuário visitasse a URL direta da imagem de visualização. Os atacantes precisavam pelo menos da função "WebEditor" para explorar essa questão.
Recomendações
Atualize o EPiServer.CMS.Core para a versão 11.21.4 ou posterior.
Atualize o EPiServer.CMS.UI para a versão 11.37.5 ou posterior.
Atualize o EPiServer.CMS.Core para a versão 12.22.1 ou posterior.
Atualize o EPiServer.CMS.UI para a versão 11.37.3 ou posterior.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Episerver.Cms.Core
Episerver.Cms.Ui
Episerver Cms