October: XSS Reflejado a través del Widget de Formulario de Tabla de Datos

La vulnerabilidad XSS reflejado permite a un atacante inyectar código JavaScript malicioso en una página del backend de October CMS. Para explotar esta vulnerabilidad, el atacante debe conocer o adivinar el prefijo de la URL del backend y luego crear una URL maliciosa que contenga el código JavaScript. Una vez que un usuario autenticado visita esta URL, el código JavaScript se ejecuta en su navegador, permitiendo al atacante robar cookies de sesión, redirigir al usuario a sitios web maliciosos o realizar otras acciones maliciosas en nombre del usuario. Es importante destacar que esta es una XSS reflejada, lo que significa que el código malicioso no se almacena permanentemente en el servidor, sino que se ejecuta solo cuando el usuario visita la URL maliciosa.

Organizations using October CMS versions 4.0.0 through 4.1.15 are at risk. Specifically, those with custom backend URL prefixes or those who allow user-supplied input to influence the DataTable queries are more vulnerable. Shared hosting environments running October CMS should also be prioritized for patching.

• php: Examine October CMS application logs for unusual URL parameters or JavaScript execution attempts.

grep -i 'javascript:' /path/to/october/cms/logs/error.log

• generic web: Monitor access logs for requests containing suspicious query parameters in the DataTable URL.

curl -I https://your-october-cms-site.com/backend/october/manage/settings/datatables?param=javascript:alert('XSS')

• generic web: Check response headers for signs of JavaScript injection.

curl -I https://your-october-cms-site.com/backend/october/manage/settings/datatables?param=javascript:alert('XSS') | grep Content-Type

1. 2026-04-21Disclosure

   disclosure

1. Reservado2026-02-25
2. Publicada2026-04-21
3. EPSS actualizado2026-04-29

La solución principal para mitigar esta vulnerabilidad es actualizar October CMS a la versión 4.1.16 o superior. Esta versión incluye una corrección que escapa correctamente el parámetro de consulta vulnerable. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el backend. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan código JavaScript sospechoso en los parámetros de la URL. Verifique después de la actualización que el parámetro de consulta se escapa correctamente al renderizar el widget DataTable.