Niska

Umbraco Forms components vulnerable to Stored Cross-site Scripting

Ujawniono: 28.05.2024
Aktualizacja: 11.10.2026 11:23

Impact

Authenticated user that has access to edit Forms may inject unsafe code into Forms components.

Patches

Issue can be mitigated by configuring TitleAndDescription:AllowUnsafeHtmlRendering after upgrading to patched versions (13.0.1, 12.2.2, 10.5.3, 8.13.13).

References

https://docs.umbraco.com/umbraco-forms/release-notes#id-13.0.1-january-16th-2024 https://docs.umbraco.com/umbraco-forms/v/12.forms.latest/release-notes#id-12.2.2-january-16th-2024 https://docs.umbraco.com/umbraco-forms/v/10.forms.latest/release-notes https://docs.umbraco.com/umbraco-forms/developer/configuration#editing-configuration-values

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
.NET (NuGet)	Umbraco.Forms	>= 13.0.0, < 13.0.1, >= 12.0.0, < 12.2.2, >= 10.0.0, < 10.5.3, >= 8.0.0, < 8.13.13	13.0.1, 12.2.2, 10.5.3, 8.13.13

Odnośniki

Ocena CVSS 2.7/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE): CWE-79
Platforma: .NET (NuGet)
Paczka: Umbraco.Forms
Ujawniono: 28.05.2024
Aktualizacja: 11.10.2026 11:23

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p572-p2rj-q5f4 - CC BY 4.0

Historia podatności: Umbraco.Forms

Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 05.2024 01.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 2
Niska 3

Ujawnienia w latach

2024: 1
2025: 2
2026: 2

30.01.2026

Umbraco.Forms has Path Traversal and File Enumeration Vulnerabilities in Linux/Mac

Średnia CVE-2026-24687 >= 16.0.0, < 16.4.1, >= 17.0.0, < 17.1.1 16.4.1, 17.1.1
22.01.2026

Umbraco.Forms CDN may cache sensitive form uploads when processed by ImageSharp

Niska · 3.1 ghsa-7jxj-rpx7-ph2c < 13.9.0, >= 14.0.0-beta001, < 16.4.0, >= 17.0.0-rc1, < 17.1.0 13.9.0, 16.4.0, 17.1.0
13.05.2025

Umbraco.Forms has HTML injection vulnerability in 'Send email' workflow

Niska · 0.0 CVE-2025-47280 >= 7.0.0, < 13.4.2, >= 14.0.0, < 15.1.2 13.4.2, 15.1.2
14.01.2025

Umbraco Forms's Short and Long Answer Fields Are Not Validated Server-Side For Maximum Length

Średnia · 5.8 CVE-2025-23041 < 10.5.7, >= 11.0.0-rc1, < 13.2.2, >= 14.0.0-beta001, < 14.1.2 10.5.7, 13.2.2, 14.1.2
28.05.2024

Umbraco Forms components vulnerable to Stored Cross-site Scripting ten wpis

Niska · 2.7 CVE-2024-35239 >= 13.0.0, < 13.0.1, >= 12.0.0, < 12.2.2, >= 10.0.0, < 10.5.3, >= 8.0.0, < 8.13.13 13.0.1, 12.2.2, 10.5.3, 8.13.13

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację