Contao: Insufficient BBCode sanitizer

TRUNG BÌNH 4.7CVE-2024-28234 · GHSA-j55w-hjpj-825g · Công bố 09/04/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-28234 là lỗ hổng mức TRUNG BÌNH (CVSS 4.7) ảnh hưởng contao/comments-bundle, contao (contao).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.57%, cao hơn 47.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.13.40, 5.3.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
contao/comments-bundle Packagist	`≥ 2.0.0, < 4.13.40≥ 5.0.0-RC1, < 5.3.4`	`4.13.405.3.4`
contao contao	`≥ 2.0, < 4.13.40≥ 5.0.0, < 5.3.4`	`4.13.405.3.4`

Mô tả

Impact

If BBCode is enabled for comments, users can inject CSS styles.

Patches

Update to Contao 4.13.40 or 5.3.4.

Workarounds

Disable BBCode for comments.

References

https://contao.org/en/security-advisories/insufficient-bbcode-sanitization

For more information

If you have any questions or comments about this advisory, open an issue in contao/contao.

Mô tả của NVD

Contao is an open source content management system. Starting in version 2.0.0 and prior to versions 4.13.40 and 5.3.4, it is possible to inject CSS styles via BBCode in comments. Installations are only affected if BBCode is enabled. Contao versions 4.13.40 and 5.3.4 have a patch for this issue. As a workaround, disable BBCode for comments.