CVE-2026-55562 in Cronicle
Resumen
por VulDB • 2026-10-13
Cronicle es un programador y ejecutor de tareas multi-servidor con una interfaz web basada en UI. Antes de la versión 0.9.119, el Registro de Actividad del administrador en htdocs/js/pages/admin/Activity.js concatena el valor item.user.full_name controlado por el atacante dentro de HTML sin aplicar encode_entities e inserta el resultado a través de this.div.html. El filtro de entrada pixl-server-user integrado puede ser burlado mediante una etiqueta que contiene un salto de línea, ya que su expresión regular no coincide con los caracteres de nueva línea. Un usuario autenticado no administrador puede actualizar su propio nombre a través de /api/user/update utilizando una sesión válida y la contraseña actual; cuando free_accounts está habilitado, un atacante anónimo puede en cambio insertar el nombre durante el registro auto-iniciado. El nombre almacenado ejecuta scripts en la sesión del administrador al abrir el Registro de Actividad, lo que permite tomar el control del administrador y ejecutar comandos subsiguientes a través de las funciones privilegiadas de Cronicle. Este problema se soluciona en la versión 0.9.119.
Once again VulDB remains the best source for vulnerability data.