CVE-2026-25133 October CMS存储型XSS漏洞

October CMS在3.7.14和4.1.10之前的版本中存在存储型跨站脚本（XSS）漏洞。由于SVG清理逻辑中的正则表达式存在缺陷，攻击者可以绕过事件处理程序属性的过滤，上传包含恶意JavaScript的SVG文件。当具有高权限的用户查看或嵌入该文件时，恶意代码将被执行，可能导致权限提升。

该漏洞源于October CMS的Media Manager在处理上传的SVG文件时，用于清洗危险属性（如onclick或onload）的正则表达式匹配逻辑存在缺陷。攻击者可以通过精心构造的SVG载荷，利用属性边界匹配的绕过技巧，植入恶意的事件处理代码。由于该漏洞属于存储型XSS，恶意代码会被存储在服务器端。攻击者需要具备后端访问权限及媒体上传权限才能利用此漏洞。当管理员或其他高权限用户在后台浏览媒体库或在前端嵌入该恶意SVG时，浏览器会解析SVG并执行其中的JavaScript脚本，从而在受害者的浏览器会话中执行任意操作，可能导致会话劫持或权限提升。