PT-2026-20984 · Statmatic · Statmatic

Jasonvarga · Publicado 2026-02-19 · Atualizado 2026-02-22 · CVE-2026-27196

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Statamic 5.73.8 e inferiores, e de 6.0.0-alpha.1 até 6.3.1

Descrição O Statamic, um sistema de gerenciamento de conteúdo (CMS) baseado em Laravel e Git, é afetado por um problema de Cross-Site Scripting Armazenado (XSS) nos tipos de campo html. Essa vulnerabilidade permite que usuários autenticados com permissões de gerenciamento de campos injetem código JavaScript malicioso em campos de conteúdo. Quando usuários com privilégios mais elevados visualizam o conteúdo afetado, o script malicioso é executado em seus navegadores, potencialmente levando ao sequestro de sessão ou roubo de credenciais. A vulnerabilidade possibilita uma possível escalada de privilégios.

Recomendações Versões anteriores a 6.3.2 são vulneráveis. Versões anteriores a 5.73.9 são vulneráveis.

Exploit

Correção

LPE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-27196

GHSA-8R7R-F4GM-WCPQ

Produtos afetados

Statmatic

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27196.json · Exploit
• https://github.com/statamic/cms · Nota
• https://github.com/statamic/cms/commit/11ae40e62edd3da044d37ebf264757a09cc2347b · Correção
• https://github.com/statamic/cms/commit/6c270dacc2be02bfc2eee500766f3309f59d47b3 · Correção
• https://github.com/statamic/cms/security/advisories/GHSA-8r7r-f4gm-wcpq · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2025078251941704036 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-27196 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2025154194731139501 · Publicação no Twitter
• https://twitter.com/CveTodo/status/2025080092163010663 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27196 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-8r7r-f4gm-wcpq · Aviso do Fabricante
• https://twitter.com/pulsepatchio/status/2025581046880715028 · Publicação no Twitter