PT-2026-41318 · Unknown · Cockpit Cms

D6Fault + 1 · Publicado 2026-05-15 · Atualizado 2026-05-15 · CVE-2026-23695

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Cockpit CMS versões anteriores a 2.14.1

Descrição Um problema de cross-site scripting armazenado existe na opção de modelo de exibição (Display template) do tipo de campo Set. A string do modelo é processada pela função $interpolate() usando new Function() e renderizada via diretiva v-html do Vue sem a sanitização adequada. Um invasor com a permissão content/:models/manage pode injetar JavaScript arbitrário no modelo de exibição, que é executado no navegador de qualquer usuário que visualize a lista de itens da coleção.

Recomendações Atualize para a versão que contém o commit 72a83fc.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-23695

GHSA-CH4J-VCF5-58X5

Produtos afetados

Cockpit Cms

Referências · 5

• https://github.com/Cockpit-HQ/Cockpit/commit/72a83fcfe85ad8330e9ae834bc02fa517b5749e9 · Correção
• https://github.com/Cockpit-HQ/Cockpit · Nota
• https://osv.dev/vulnerability/GHSA-ch4j-vcf5-58x5 · Aviso do Fabricante
• https://vulncheck.com/advisories/cockpit-cms-stored-xss-via-set-field-display-template · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-23695 · Nota de Segurança