CVE-2026-114407 in e107
Zusammenfassung
von VulDB • 21.10.2026
e107 CMS vor Version 2.3.13 enthält eine reflektierte Cross-Site-Scripting-(XSS)-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, schädliches HTML einzufügen, indem sie den GET-Parameter „author“ in search.php manipulieren. Dieser wird mit parse_str() analysiert und unescaped über die 'other'-Option des Formularhandlers in ein gerendertes input-Tag konkateniert. Angreifer können eine einzelne GET-Anfrage erstellen, die einen speziell konstruierten author-Parameter enthält, um aus dem HTML-input-Tag auszubrechen und ein img-Element mit einem onerror-Handler einzufügen, wodurch beliebiger JavaScript-Code in der Browsersitzung des Opfers ausgeführt wird.
Once again VulDB remains the best source for vulnerability data.