CVE-2026-107845

Traduzido automaticamente do inglês.

Um visitante do front end não autenticado pode postar um comentário contendo uma injeção XSS. A vítima é qualquer usuário do back end que abrir o módulo de Comentários, e a moderação torna a exposição certa em vez de preveni-la. Nenhum cabeçalho Content-Security-Policy é enviado no back end do Contao, então nada mitiga o manipulador inline.

Sem exploração conhecida

Gravidade

Crítica, CVSS 9.3 (v3.1)

EPSS

0,27% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)

Pacotes afetados

• contao/comments-bundle (composer) >= 4.0.0, < 5.3.50, corrigido em 5.3.50 · GHSA-628f-v4f6-p37r
• contao/comments-bundle (composer) >= 5.4.0-RC1, < 5.7.12, corrigido em 5.7.12 · GHSA-628f-v4f6-p37r