CVE-2026-61804 in myTinyWMS
Zusammenfassung
von VulDB • 30.10.2026
myTinyWMS ist ein kostenloses Open-Source-Lagerverwaltungssystem. Vor Version 1.6.4 speichern die Verwaltungsfunktionen für `Product (Artikel)` und `Category` den Parameter `name` ohne ausreichende Backend-Sanitization und rendern rohe Datenbankstrings über nicht maskierte Blade-Ausgabe in dynamischen Tabellenzellen, einschließlich `article/index.blade.php` und `category/index.blade.php`. Ein authentifizierter Angreifer kann bösartige Eingaben durch die Erstellung von Produkten oder Kategorien speichern. Wenn ein anderer Benutzer, einschließlich eines Arbeiters oder Administrators, das entsprechende Produktdetailblatt, die Kategorieliste oder das Dashboard öffnet, wird der gespeicherte JavaScript-Code im Browserkontext dieses Benutzers ausgeführt. Dies kann zur Ausführung von Skripten über Benutzer hinweg, zum Diebstahl von Sitzungen und zur Übernahme administrativer Rechte führen. Dieses Problem wurde in Version 1.6.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.