PT-2026-22428 · Statmatic · Statmatic

Jasonvarga · Publicado 2026-02-27 · Atualizado 2026-03-05 · CVE-2026-28426

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Statmatic versões anteriores a 5.73.11 Statmatic versões anteriores a 6.4.0

Descrição Statmatic é um sistema de gerenciamento de conteúdo (CMS) baseado em Laravel e Git. Antes das versões 5.73.11 e 6.4.0, existe um problema de cross-site scripting (XSS) armazenado nos componentes relacionados a SVG e ícones. Isso permite que usuários autenticados com permissões adequadas insiram JavaScript malicioso que é executado quando visualizado por usuários com privilégios mais elevados.

Recomendações Versões anteriores a 5.73.11 devem ser atualizadas para a versão 5.73.11 ou posterior. Versões anteriores a 6.4.0 devem ser atualizadas para a versão 6.4.0 ou posterior.

Exploit

Correção

LPE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-28426

GHSA-5VRJ-WF7V-5WR7

Produtos afetados

Statmatic

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/28xxx/CVE-2026-28426.json · Exploit
• https://github.com/statamic/cms · Nota
• https://github.com/statamic/cms/releases/tag/v5.73.11 · Nota
• https://github.com/statamic/cms/releases/tag/v6.4.0 · Nota
• https://github.com/statamic/cms/security/advisories/GHSA-5vrj-wf7v-5wr7 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2027531930917605854 · Publicação no Twitter
• https://t.me/cveNotify/154333 · Publicação no Telegram
• https://twitter.com/BinaryPh/status/2028213742232617367 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1rj3cki/resumen_diario_de_vulnerabilidades_02032026 · Publicação no Reddit
• https://twitter.com/pulsepatchio/status/2027754734480761178 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-28426 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2027529514411081964 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2027551498851205447 · Publicação no Twitter
• https://t.me/CVEtracker/46035 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-28426 · Nota de Segurança