CVE-2026-55872 in GYM One
الملخص
بحسب VulDB • 15/10/2026
GYM One هو برنامج مفتوح المصدر لإدارة الصالات الرياضية مخصص لمراكز اللياقة البدنية والمدربين الشخصيين والأندية الرياضية. قبل الإصدار 1.4.1، يقوم ملف admin/users/index.php في GYM One بعرض حقول الملف الشخصي المخزنة (الاسم الأول، واللقب، وبريد إلكتروني) ضمن قائمة المستخدمين المسؤولين دون ترميز مخرجات HTML. يمكن لمهاجم قادر على تخزين قيم في هذه الحقول أن يتسبب في تنفيذ محتوى ضار داخل متصفح المسؤول عند زيارة المسار /admin/users/. يسمح السكربت المستمر (Persistent Script) بالوصول إلى بيانات جلسة عمل المسؤول أو بتنفيذ إجراءات بصلاحيات المسؤول حتى يتم إزالة السجل المخزن. تم إصلاح هذه المشكلة في الإصدار 1.4.1.
Once again VulDB remains the best source for vulnerability data.