Уязвимость XSS в InstantSoft icms2 (CVE-2026-108566)
В InstantSoft icms2 до версии 2.18.2 обнаружена уязвимость межсайтового скриптинга (XSS) в обработчике личных сообщений. Эксплуатация возможна удалённо, эксплойт уже опубликован. Критичность — средняя (CVSS 5.1).
Подробности
Уязвимость CVE-2026-108566 затрагивает InstantSoft icms2 версий до 2.18.2 включительно. Проблема локализована в функции index файла templates/default/controllers/messages/index.tpl.php, относящегося к компоненту Private Message Handler (обработчик личных сообщений). При манипуляции аргументом nickname возникает уязвимость типа cross site scripting (XSS). Атака может быть проведена удалённо, без необходимости локального доступа к системе. Эксплойт был раскрыт публично и уже может использоваться злоумышленниками. Уязвимости присвоен базовый балл CVSS 5.1, что соответствует средней степени критичности. Подобные уязвимости XSS позволяют злоумышленникам внедрять вредоносные скрипты в веб-страницы, просматриваемые другими пользователями, что может привести к краже сессионных данных, учётных записей или выполнению действий от имени жертвы. Исправление доступно в виде патча с идентификатором 3a1ec8fcb073a46d06a2ab83bc2bf68225834281.Что делать
В первую очередь рекомендуется обновить InstantSoft icms2 до версии, содержащей исправление, или применить патч 3a1ec8fcb073a46d06a2ab83bc2bf68225834281. Если немедленное обновление невозможно, следует рассмотреть временные меры защиты: - Ограничить возможность отправки личных сообщений неавторизованным пользователям. - Внедрить строгую валидацию и экранирование параметра nickname на стороне сервера. - Настроить Content Security Policy (CSP) для блокировки выполнения сторонних скриптов. - Использовать WAF для фильтрации подозрительных запросов к компоненту личных сообщений. Важно учитывать, что эксплойт уже находится в открытом доступе, что повышает риск активного использования уязвимости. Администраторам сайтов на icms2 следует не откладывать обновление и проверить журналы на предмет подозрительной активности.Итог
CVE-2026-108566 представляет реальную угрозу для проектов на InstantSoft icms2 версий до 2.18.2. Несмотря на средний уровень критичности, публичная доступность эксплойта и удалённый характер атаки делают эту уязвимость значимой. Рекомендуется незамедлительно применить патч и усилить контроль входных данных в компонентах, работающих с пользовательским вводом.Источник: CVE Project (cvelistV5)