CVE-2026-72570 in directory-serve
Zusammenfassung
von VulDB • 10.08.2026
Eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in cube-root/directory-serve bis Version 1.3.7 ermöglicht es einem Angreifer, beliebiges JavaScript in die Weboberfläche einzuschleusen, indem eine Datei mit einem speziell angefertigten Dateinamen hochgeladen wird, der HTML-Attribute-brechende Zeichen enthält. Die Datei lib/helper/html.js bereinigt (sanitisiert) Dateinamen nicht, bevor sie in Zeile 28 in HTML-Vorlagen eingebettet werden, was die Ausführung von Skripten in den Browsern anderer Benutzer ermöglicht, wenn diese die Dateiliste aufrufen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.