PT-2026-51608 · Flatpress · Flatpress

Dilipkumar Choudhary + 1 · Publicado 2026-06-23 · Atualizado 2026-06-24 · CVE-2026-56785

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas FlatPress versões anteriores ao commit 10be83c

Descrição Um problema de cross-site scripting armazenado existe em formulários de comentários e contato. Os campos name, URL e email são renderizados sem a codificação de saída adequada em templates Smarty. Isso permite que invasores injetem HTML e JavaScript arbitrários para executar scripts maliciosos nos navegadores dos visualizadores, incluindo administradores, ou ignorem a validação de esquema de URL para injetar URIs javascript: ou data:.

Recomendações Atualize para o commit 10be83c ou uma versão posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-56785

Produtos afetados

Flatpress

Referências · 7

• https://github.com/flatpressblog/flatpress/commit/10be83cbaac5ce0e51250b9d57de7f257b8f34f8 · Correção
• https://twitter.com/infoflowcloud/status/2069567746157813863 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2069566775662977052 · Publicação no Twitter
• https://github.com/dilipk5/flatpressd-cms-sxss · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-56785 · Nota de Segurança
• https://vulncheck.com/advisories/flatpress-stored-cross-site-scripting-via-unescaped-comment-and-contact-form-fields · Nota
• https://twitter.com/DFIR_Lab/status/2069587651980571102 · Publicação no Twitter