一、 漏洞 CVE-2024-51991 基础信息
漏洞信息
                                        # October CMS 允许在媒体管理器中对SVG重命名而不加保护

## 概述
October 是一款内容管理系统（CMS）和网页平台。在版本 3.7.5 之前，存在一个漏洞，影响到启用了 `media.clean_vectors` 配置的站点的已认证管理员。此配置会清理通过媒体管理器上传的 SVG 文件。此漏洞允许已认证用户利用此保护机制的缺陷，通过首先以允许的扩展名（例如 .jpg 或 .png）上传文件，然后将其修改为 .svg 扩展名来绕过保护措施。

## 影响版本
- 版本 3.7.5 之前的所有版本

## 细节
此漏洞假设攻击者是可信用户，并对另一个可信用户进行攻击。未经授权的外部人员无法在没有访问管理员面板权限和用户互动情况下进行主动利用。

## 影响
此漏洞允许攻击者上传恶意 SVG 文件，绕过系统的防护机制。该问题已在版本 3.7.5 中修复。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
October CMS Allows Unprotected SVG Rename in Media Manager
来源：美国国家漏洞数据库 NVD
漏洞描述信息
October is a Content Management System (CMS) and web platform. A vulnerability in versions prior to 3.7.5 affects authenticated administrators with sites that have the `media.clean_vectors` configuration enabled. This configuration will sanitize SVG files uploaded using the media manager. This vulnerability allows an authenticated user to bypass this protection by uploading it with a permitted extension (for example, .jpg or .png) and later modifying it to the .svg extension. This vulnerability assumes a trusted user will attack another trusted user and cannot be actively exploited without access to the administration panel and interaction from the other user. This issue has been patched in v3.7.5.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
危险类型文件的不加限制上传
来源：美国国家漏洞数据库 NVD
漏洞标题
October 代码问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
October是October开源的一个内容管理系统 (CMS) 和网络平台。 October 3.7.5之前版本存在代码问题漏洞，该漏洞源于未正确清理SVG文件，可能导致绕过保护。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-51991 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-51991 的情报信息