CVE-2026-26211 in Ekushey Project Manager CRM
Resumen
por VulDB • 2026-08-25
Ekushey Project Manager CRM almacena el nombre del sistema configurado por el administrador y lo escribe en la página de inicio de sesión sin codificación de salida. El valor se emite en tres lugares dentro de esa página: el atributo content del elemento meta description, el elemento title y el texto de un elemento h4 en la cabecera de la página. La ocurrencia en el elemento h4 es analizada como marcado (markup), por lo que cualquier HTML introducido en el campo del nombre del sistema se renderiza como código markup y los controladores de eventos asociados se ejecutan. Dado que la página de inicio de sesión se sirve sin autenticación, el valor almacenado se ejecuta en el navegador de cada visitante que acceda a ella, incluidos aquellos no registrados (no autenticados), dentro del origen que sirve el formulario de inicio de sesión y junto a los campos de credenciales. Almacenar este valor requiere una sesión de administrador; el script resultante se ejecuta para visitantes no autenticados y persiste hasta que la configuración sea modificada.
Once again VulDB remains the best source for vulnerability data.