Craft CMS Stored Cross-site Scripting Injection Vulnerability

TRUNG BÌNH 5.4CVE-2023-23927 · GHSA-qcrj-6ffc-v7hq · Công bố 03/03/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-23927 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng craftcms/cms, craft cms (craftcms).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.80%, cao hơn 56.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.7.64, 4.3.7 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
craftcms/cms Packagist	`≥ 3.7.24, < 3.7.64≥ 4.0.0-RC1, < 4.3.7`	`3.7.644.3.7`
craft cms craftcms	`< 4.3.7`	`4.3.7`

Mô tả

Summary

When you insert a payload inside a label name or instruction of an entry type, an XSS happens in the quick post widget on the admin dashboard.

PoC

Complete instructions, including specific configuration details, to reproduce the vulnerability.

Impact

Tested with the free version of Craft CMS 4.3.6.1

Mô tả của NVD

Craft is a platform for creating digital experiences. When you insert a payload inside a label name or instruction of an entry type, an cross-site scripting (XSS) happens in the quick post widget on the admin dashboard. This issue has been fixed in version 4.3.7.