CVE-2026-28222

Wagtail è un sistema di gestione dei contenuti open source costruito su Django. Prima delle versioni 6.3.8, 7.0.6, 7.2.3 e 7.3.1, esiste una vulnerabilità di cross-site scripting (XSS) memorizzato durante il rendering dei blocchi TableBlock all’interno di un StreamField. Un utente con accesso alla creazione o modifica di pagine contenenti blocchi StreamField di tipo TableBlock può impostare attributi di classe appositamente manipolati sul blocco, che eseguono codice JavaScript arbitrario quando la pagina viene visualizzata. Quando visualizzata da un utente con privilegi più elevati, ciò potrebbe portare all’esecuzione di azioni con le credenziali di quell’utente. La vulnerabilità non è sfruttabile da un visitatore del sito senza accesso all’amministrazione di Wagtail e riguarda solo i siti che utilizzano TableBlock. Questo problema è stato risolto nelle versioni 6.3.8, 7.0.6, 7.2.3 e 7.3.1.