XSS/HTML Injection Vulnerability in Umbraco Backoffice Components

中 5.4CVE-2025-24012 · GHSA-wv8v-rmw2-25wc · 21/01/2025 公開 · 17/06/2026 更新

要点

CVE-2025-24012 は Umbraco.Cms.StaticAssets, umbraco cms (umbraco), @umbraco-cms/backoffice に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.27%（全脆弱性の 19.9% より高い）。
対処：14.3.2, 15.1.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
Umbraco.Cms.StaticAssets NuGet	`≥ 14.0.0, < 14.3.2≥ 15.0.0, < 15.1.2`	`14.3.215.1.2`
umbraco cms umbraco	`≥ 14.0.0, < 14.3.2≥ 15.0.0, < 15.1.2`	`14.3.215.1.2`
@umbraco-cms/backoffice npm	`≥ 14.0.0, < 14.3.2≥ 15.0.0, < 15.1.2`	`14.3.215.1.2`

概要

Impact

Authenticated users are able to exploit an XSS vulnerability when viewing certain localized backoffice components.

Patches

Will be patched in 14.3.2 and 15.1.2.

Note: This issue was reported by Pratik Patil from NetSPI @Nexusss-ppatil

NVD の説明

Umbraco is a free and open source .NET content management system. Starting in version 14.0.0 and prior to versions 14.3.2 and 15.1.2, authenticated users are able to exploit a cross-site scripting vulnerability when viewing certain localized backoffice components. Versions 14.3.2 and 15.1.2 contain a patch.