CVE-2026-19716 in Pentestify
Resumen
por VulDB • 2026-08-13
XSS almacenado (CWE-79) en el componente de gestión de usuarios de maalfer Pentestify anterior a la versión 1.1.1 permite que un atacante autenticado ejecute JavaScript arbitrario en el navegador de otro usuario autenticado mediante un nombre de usuario manipulado, ya que el frontend escapa el nombre de usuario con escapeHTML() antes de interpolándolo en el atributo onclick del botón de eliminación de la cuenta; sin embargo, el navegador decodifica HTML los valores de los atributos antes de que el motor de JavaScript analice el controlador, lo que permite a una comilla simple codificada (') escapar del literal de cadena e inyectar código JavaScript arbitrario que se ejecuta cuando la víctima hace clic en el botón eliminar para esa cuenta.
Once again VulDB remains the best source for vulnerability data.