XSS/HTML Injection Vulnerability in Umbraco Backoffice Components

TRUNG BÌNH 5.4CVE-2025-24012 · GHSA-wv8v-rmw2-25wc · Công bố 21/01/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2025-24012 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng Umbraco.Cms.StaticAssets, umbraco cms (umbraco), @umbraco-cms/backoffice.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.27%, cao hơn 19.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 14.3.2, 15.1.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
Umbraco.Cms.StaticAssets NuGet	`≥ 14.0.0, < 14.3.2≥ 15.0.0, < 15.1.2`	`14.3.215.1.2`
umbraco cms umbraco	`≥ 14.0.0, < 14.3.2≥ 15.0.0, < 15.1.2`	`14.3.215.1.2`
@umbraco-cms/backoffice npm	`≥ 14.0.0, < 14.3.2≥ 15.0.0, < 15.1.2`	`14.3.215.1.2`

Mô tả

Impact

Authenticated users are able to exploit an XSS vulnerability when viewing certain localized backoffice components.

Patches

Will be patched in 14.3.2 and 15.1.2.

Note: This issue was reported by Pratik Patil from NetSPI @Nexusss-ppatil

Mô tả của NVD

Umbraco is a free and open source .NET content management system. Starting in version 14.0.0 and prior to versions 14.3.2 and 15.1.2, authenticated users are able to exploit a cross-site scripting vulnerability when viewing certain localized backoffice components. Versions 14.3.2 and 15.1.2 contain a patch.