Media

DNN vulnerable to Reflected Cross-Site Scripting (XSS) using url to profile

Publicada: 23.09.2025
Actualizado: 11.10.2026 11:23

Summary

A reflected cross-site scripting (XSS) vulnerability exists under certain conditions, using a specially crafter url to view a user profile

Description

DNN’s URL/path handling and template rendering can allow specially crafted input to be reflected into a user profile that are returned to the browser. In these cases, the application does not sufficiently neutralize or encode characters that are meaningful in HTML, so an attacker can cause a victim’s browser to interpret attacker-controlled content as part of the page’s HTML.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
.NET (NuGet)	DotNetNuke.Core	< 10.1.0	10.1.0

Referencias

Puntuación CVSS 6.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Debilidad (CWE): CWE-79
Plataforma: .NET (NuGet)
Paquete: DotNetNuke.Core
Publicada: 23.09.2025
Actualizado: 11.10.2026 11:23

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-jc4g-c8ww-5738 - CC BY 4.0

Historial de vulnerabilidades: DotNetNuke.Core

Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (36) en el archivo

Entradas en total: 36
Primera → última: 10.2018 04.2026
Sin corrección: 3
Explotada en ataques: 3

Distribución por gravedad

Crítica 3
Alta 10
Media 21
Baja 2

Divulgaciones por año

2018: 5
2019: 5
2020: 0
2021: 0
2022: 9
2023: 0
2024: 0
2025: 9
2026: 8

10.04.2026

DotNetNuke.Core has stored cross-site-scripting (XSS) via SVG upload

Alta · 8.0 CVE-2026-40321 < 10.2.2 10.2.2
28.01.2026

DotNetNuke.Core Vulnerable to Stored XSS via Module Title

Crítica · 9.1 CVE-2026-24838 < 9.13.10, >= 10.0.0, < 10.2.0 9.13.10, 10.2.0
28.01.2026

DotNetNuke.Core Vulnerable to Stored XSS in Module Deletion Confirmation Modal

Alta · 7.6 CVE-2026-24837 >= 9.0.0, <= 9.13.9, >= 10.0.0, < 10.2.0 10.2.0
28.01.2026

DotNetNuke.Core Vulnerable to Stored XSS in Scheduler LogNotes

Alta · 7.6 CVE-2026-24836 >= 9.0.0, <= 9.13.9, >= 10.0.0, < 10.02.0 10.02.0
23.09.2025

DNN vulnerable to Reflected Cross-Site Scripting (XSS) using url to profile esta entrada

Media · 6.5 CVE-2025-59821 < 10.1.0 10.1.0
23.09.2025

DNN Vulnerable to Stored Cross-Site Scripting (XSS) in the Prompt module

Crítica · 9.0 CVE-2025-59545 < 10.1.0 10.1.0
24.05.2022

DNN Path Traversal via Zip Slip

Alta · 8.8 CVE-2020-5187 < 9.5.0 9.5.0
05.07.2019

Inadequate Encryption Strength in DotNetNuke

Alta · 7.5 Explotada en ataques CVE-2018-15811 >= 9.2.0, < 9.2.2 9.2.2
05.07.2019

Insufficient Entropy in DotNetNuke

Alta · 7.5 CVE-2018-15812 >= 9.2.0, < 9.2.2 9.2.2
05.07.2019

Insufficient Entropy in DotNetNuke

Alta · 7.5 CVE-2018-18326 < 9.3.0 9.3.0
05.07.2019

Inadequate Encryption Strength in DotNetNuke

Alta · 7.5 Explotada en ataques CVE-2018-18325 < 9.3.0 9.3.0
16.10.2018

DNN (aka DotNetNuke) has Remote Code Execution via a cookie

Alta · 8.8 Explotada en ataques CVE-2017-9822 < 9.1.1 9.1.1
16.10.2018

The installation wizard in DotNetNuke (DNN) allows privilege escalation

Crítica · 9.8 CVE-2015-2794 < 7.4.1 7.4.1
16.10.2018

High severity vulnerability that affects DotNetNuke.Core

Alta · 7.5 CVE-2017-0929 < 9.2.0 9.2.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación