Datum: 17.09.2024
CVE-ID: CVE-2024-45612

Es ist möglich, Insert-Tags in Canonical URLs im Frontend einzuschleusen, die bei der Ausgabe der Seite ersetzt werden.

Datum: 17.09.2024
CVE-ID: CVE-2024-45604

Backend-Benutzer können im FileSelector-Widget Dateien außerhalb ihrer Filemounts bzw. des Document-Root auflisten.

Datum: 17.09.2024
CVE-ID: CVE-2024-45398

Backend-Benutzer mit Zugriff auf den Dateimanager können bösartige Dateien hochladen und auf dem Server ausführen.

Datum: 09.04.2024
CVE-ID: CVE-2024-28235

Wenn der Crawler so eingestellt ist, dass er geschützte Seiten crawlt, sendet er den Cookie-Header an externe URLs.

Datum: 09.04.2024
CVE-ID: CVE-2024-28190

Benutzer können beim Hochladen von Dateien bösartigen Code in Dateinamen einfügen, der dann in Tooltips und Popups im Backend ausgeführt wird.

Datum: 09.04.2024
CVE-ID: CVE-2024-28191

Es ist möglich, Insert-Tags über den Formulargenerator einzuschleusen, wenn die übermittelten Formulardaten auf eine bestimmte Weise auf der Seite ausgegeben werden.

Datum: 09.04.2024
CVE-ID: CVE-2024-30262

Wenn ein Frontend-Mitglied sein Passwort ändert, werden die dazugehörigen Remember-me-Token nicht gelöscht.

Datum: 09.04.2024
CVE-ID: CVE-2024-28234

Wenn BBCode für Kommentare aktiviert ist, können Benutzer damit CSS-Stile einschleusen.