p PatchFirst

CVE-2026-23695

CVE-2026-23695 · Cockpit CMS 2.14.0 Stored XSS via Set Field Display Template

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Cockpit CMS through version 2.14.0, patched in commit 72a83fc, contains a stored cross-site scripting vulnerability in the Set field type's Display template option, where the template string is processed by the $interpolate function using new Function() and rendered via Vue's v-html directive without sanitization. An attacker with content/:models/manage permission can inject arbitrary JavaScript into the Display template, which executes in the browser of any user viewing the collection items list.

CVSS 5.1 · Moyenne · EPSS 0,1%

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • cockpit

    Versions du logiciel
    • ≥ 0, ≤ 2.14.0: Concernée (semver)
    • 72a83fcfe85ad8330e9ae834bc02fa517b5749e9: Non concernée (git)

    Aucun correctif publié

  • cockpit-hq/cockpit Packagist

    Versions du logiciel
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.10.0
    • 2.10.1
    • 2.10.2
    • 2.10.3
    • 2.11.0
    • 2.11.1
    • 2.11.2
    • 2.11.3
    • 2.11.4
    • 2.12.0
    • 2.12.1
    • 2.13.0
    • 2.13.1
    • 2.13.2
    • 2.13.3
    • 2.13.4
    • 2.13.5
    • 2.14.0
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.1
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.6.3
    • 2.7.0
    • 2.7.1
    • 2.7.2
    • 2.8.0
    • 2.8.1
    • 2.8.2
    • 2.8.3
    • 2.8.4
    • 2.8.5
    • 2.8.6
    • 2.9.0
    • 2.9.1
    • 2.9.2
    • 2.9.3
    • 2.9.4
    Plages de versions concernées
    • ECOSYSTEM: ≤ 2.14.0

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →