CVE-2026-19716 in Pentestify
Zusammenfassung
von VulDB • 13.08.2026
Storeded Cross-site Scripting (CWE-79) in der Benutzerkomponente von maalfer Pentestify vor Version 1.1.1 ermöglicht es einem authentifizierten Angreifer, beliebigen JavaScript-Code im Browser eines anderen authentifizierten Benutzers auszuführen, indem ein manipulierter Username verwendet wird. Dies liegt daran, dass das Frontend den Username zwar mit escapeHTML() maskiert, bevor er in das onclick-Attribut des Schaltflächenelements zum Löschen des Kontos eingefügt wird; jedoch dekodiert der Browser HTML-codierte Attributwerte, bevor die JavaScript-Engine den Handler parst. Dadurch kann ein codiertes einfaches Anführungszeichen (') aus dem String-Literal ausgebrochen werden, wodurch beliebiger JavaScript-Code injiziert wird, der ausgeführt wird, wenn das Opfer auf die Schaltfläche zum Löschen dieses Kontos klickt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.