VaahCMS is vulnerable to XSS through its Avatar Upload endpoint

MITTEL 6.1CVE-2025-61183 · GHSA-q769-phqg-263r · Published 08/10/2025 · updated 05/11/2026

Kurz gesagt

CVE-2025-61183 ist eine Schwachstelle (MITTEL (CVSS 6.1)) in webreinvent/vaahcms, vaahcms (webreinvent).
Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS): 0.30%, höher als bei 22.8% aller Schwachstellen.
Noch keine gepatchte Version bekannt: Herstellerhinweise unter Referenzen verfolgen.

Package	Affected versions	Patched versions
webreinvent/vaahcms Packagist	`≤ 2.3.1`	No fix yet
vaahcms webreinvent	`= 2.3.1`	No fix yet

Description

Cross-Site Scripting in vaahcms v.2.3.1 allows a remote attacker to execute arbitrary code via upload method in the storeAvatar() method of UserBase.php

NVD description

Cross Site Scripting in vaahcms v.2.3.1 allows a remote attacker to execute arbitrary code via upload method in the storeAvatar() method of UserBase.php

References

nvd.nist.gov/vuln/detail/CVE-2025-61183 · ADVISORY
webreinvent/vaahcms · WEB
thawphone/CVE-2025-61183 · WEB
webreinvent/vaahcms · PACKAGE

Running one of these products? Scan your site to see whether it exposes a vulnerable version.

Scan my site free