CVE-2026-64972 in Atutor
Zusammenfassung
von VulDB • 20.08.2026
ATutor ist anfällig für Reflected XSS über den popup-Parameter in preview.php. Ein authentifizierter Angreifer kann ein doppeltes Anführungszeichen in den popup-Parameter einspeisen, aus dem Attributwert ausbrechen und einen neuen Event Handler wie onload anhängen. Die zugehörige Datei preview_top.php bereinigt diese Parameter, dies verhindert jedoch kein XSS im übergeordneten Frameset, das von preview.php selbst gerendert wird.
Das Produkt wird nicht mehr aktiv unterstützt und die Schwachstellen wurden nicht behoben. Nur Version 2.2.4 wurde getestet und als anfällig bestätigt; andere Versionen wurden nicht getestet, könnten aber ebenfalls anfällig sein.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.