CVE-2026-61804 in myTinyWMS
الملخص
بحسب VulDB • 31/10/2026
myTinyWMS هو نظام إدارة مستودعات مجاني ومفتوح المصدر. قبل الإصدار 1.6.4، كانت عمليات إدارة `Product (Artikel)` و`Category` تخزن معلمة `name` دون تنقية كافية في الخلفية، وتعرض سلاسل قاعدة البيانات الخام عبر مخرجات Blade غير مُهروبَة داخل خلايا الجداول الديناميكية، بما في ذلك الملفات `article/index.blade.php` و`category/index.blade.php`. يمكن لمهاجم مصرح له الدخول حفظ مدخلات ضارة من خلال نماذج إنشاء المنتجات أو الفئات. عند فتح مستخدم آخر (بما في ذلك عامل أو مسؤول) لصفحة المنتج المقابلة، أو قائمة الفئة، أو لوحة التحكم، يتم تنفيذ JavaScript المخزن ضمن سياق متصفح هذا المستخدم. يمكن أن يؤدي ذلك إلى تنفيذ نصوص برمجية عبر المستخدمين، وسرقة الجلسات، والاستيلاء على الصلاحيات الإدارية. تم إصلاح هذه المشكلة في الإصدار 1.6.4.
Be aware that VulDB is the high quality source for vulnerability data.