Possible injection of HTML into user invite mails

中 5.4CVE-2023-38694 · GHSA-xxc6-35r7-796w · 12/12/2023 公開 · 17/06/2026 更新

要点

CVE-2023-38694 は Umbraco.CMS, umbraco cms (umbraco) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.41%（全脆弱性の 35.3% より高い）。
対処：12.1.0, 8.18.10, 10.7.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
Umbraco.CMS NuGet	`≥ 11.0.0, < 12.1.0≥ 8.0.0, < 8.18.10≥ 9.0.0, < 10.7.0`	`12.1.08.18.1010.7.0`
umbraco cms umbraco	`≥ 11.0.0, < 12.1.0≥ 8.0.0, < 8.18.10≥ 9.0.0, < 10.7.0`	`12.1.08.18.1010.7.0`

概要

Impact

A user with access to a specific part of the backoffice is able to inject HTML code into a form where it is not intended.

Explanation of the vulnerability

A person with access to the backoffice and the "users" section could send a user invite and inject HTML code into the invite message.

NVD の説明

Umbraco is an ASP.NET content management system (CMS). Starting in version 8.0.0 and prior to versions 8.18.10, 10.7.0, and 12.1.0, a user with access to a specific part of the backoffice is able to inject HTML code into a form where it is not intended. Versions 8.18.10, 10.7.0, and 12.1.0 contain a patch for this issue.