Baja

October CMS: Reflected XSS via DataTable Form Widget

Publicada: 21.04.2026
Actualizado: 11.10.2026 10:22

A reflected Cross-Site Scripting (XSS) vulnerability was identified in the backend DataTable widget where a query parameter was rendered without proper output escaping.

Impact

Reflected XSS only, no stored/persistent component
The backend URL prefix is customizable and must be known or guessed by the attacker
Requires an authenticated backend user to visit a crafted URL
No direct access is gained without social engineering

Patches

The vulnerability has been patched in v3.7.16 and v4.1.16. The affected parameter is now properly escaped. All users are encouraged to upgrade to the latest patched version.

Workarounds

Use a non-default backend URL prefix (recommended as standard practice)
Implement a Content Security Policy (CSP) for backend pages

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de Composer	october/system	< 3.7.16, >= 4.0.0	3.7.16

Referencias

Puntuación CVSS 3.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
Debilidad (CWE): CWE-79
Plataforma: Composer
Paquete: october/system
Publicada: 21.04.2026
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-jj38-h5w5-mvpf - CC BY 4.0

Historial de vulnerabilidades: october/system

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (25) en el archivo

Entradas en total: 25
Primera → última: 06.2020 09.2026
Sin corrección: 0
Explotada en ataques: 1

Distribución por gravedad

Crítica 1
Alta 8
Media 9
Baja 7

Divulgaciones por año

2020: 1
2021: 3
2022: 6
2023: 3
2024: 2
2025: 1
2026: 9

21.04.2026

October CMS: Reflected XSS via DataTable Form Widget esta entrada

Baja · 3.1 CVE-2026-27937 < 3.7.16, >= 4.0.0 3.7.16
29.11.2023

October CMS safe mode bypass using Twig sandbox escape

Crítica · 9.1 CVE-2023-44382 >= 3.0.0, < 3.4.15 3.4.15
13.10.2022

October CMS Safe Mode bypass leads to authenticated Remote Code Execution

Alta · 7.2 CVE-2022-35944 >= 2.0.0, < 2.2.34, >= 3.0.0, < 3.0.66 2.2.34, 3.0.66
13.07.2022

October CMS upload process vulnerable to RCE via Race Condition

Alta · 8.1 CVE-2022-24800 < 1.0.476, >= 1.1.0, < 1.1.12, >= 2.0.0, < 2.2.15 1.0.476, 1.1.12, 2.2.15
23.02.2022

Authenticated remote code execution in October CMS

Alta · 7.2 CVE-2022-21705 < 1.0.474, >= 1.1.0, < 1.1.10, >= 2.0.0, < 2.1.27 1.0.474, 1.1.10, 2.1.27
14.01.2022

october/system arbitrary code execution

Alta · 8.8 CVE-2021-32650 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
14.01.2022

October/System authenticated file write leads to remote code execution

Alta · 8.8 CVE-2021-32649 >= 1.1.0, < 1.1.6, < 1.0.473 1.1.6, 1.0.473
06.10.2021

Deleted Admin Can Sign In to Admin Interface

Alta · 7.2 CVE-2021-41126 >= 2.1.0, < 2.1.12 2.1.12
30.08.2021

October CMS auth bypass and account takeover

Alta · 7.4 CVE-2021-29487 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5
30.08.2021

Account Takeover in Octobercms

Alta · 8.2 Explotada en ataques CVE-2021-32648 < 1.0.472, >= 1.1.1, < 1.1.5 1.0.472, 1.1.5

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación