CVE-2026-40321
Publiée le 2026-04-17 · Dernière modification le 2026-10-26
Les versions de DNN CMS antérieures à la 10.2.2 sont vulnérables à une attaque de cross-site scripting (XSS) stockée via le téléchargement de fichiers SVG malveillants. Un attaquant disposant d'un compte avec des privilèges limités peut télécharger une image spécialement conçue pour exécuter des scripts dans les navigateurs d'autres utilisateurs, permettant potentiellement le vol de cookies de session ou l'exécution d'actions en leur nom. Cela nécessite que la victime consulte le fichier téléchargé et, bien que celui-ci soit accessible via le réseau, l'attaque requiert un attaquant authentifié ainsi qu'une interaction spécifique de l'utilisateur pour réussir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
DNN (formerly DotNetNuke) is an open-source web content management platform (CMS) in the Microsoft ecosystem. Prior to version 10.2.2, a user could upload a specially crafted SVG file that could include scripts that can target both authenticated and unauthenticated DNN users. The impact is increased if the scripts are run by a power user. Version 10.2.2 patches the issue.