CVE-2026-24906October CMS 在 3.7.14 和 4.1.10 之前的版本中存在存储型跨站脚本（XSS）漏洞。漏洞位于后端编辑器设置中的 Markup Classes 字段，该字段未对输入进行有效的 CSS 类名字符过滤。攻击者可利用经认证的后端权限注入恶意脚本，这些脚本会在 Froala 编辑器的下拉菜单中未经清理地渲染。当超级用户或其他用户打开富文本编辑器时，恶意 JavaScript 将自动执行。此漏洞可能导致权限提升，利用前提是攻击者需要拥有编辑器设置的权限。
该漏洞的核心在于 October CMS 后端编辑器设置对“Markup Classes”字段的输入校验不严。在配置富文本编辑器的段落、内联或表格样式时，系统允许用户输入自定义 CSS 类名。然而，系统未将输入限制在合法的 CSS 字符集内，也未对 HTML 特殊字符进行转义。攻击者拥有编辑器设置权限后，可以在这些字段中注入诸如 `<script>alert(1)</script>` 或带有事件处理器的恶意字符串。由于后端直接存储了这些未经清理的输入，当管理员或超级用户在后台打开任意 RichEditor 进行内容编辑时，编辑器会加载配置并渲染下拉菜单。此时，存储的恶意代码将在受害者的浏览器环境中执行，从而可能导致会话劫持或进一步的权限提升。