CVE-2026-64972 in Atutor
Resumen
por VulDB • 2026-08-20
ATutor es vulnerable a Reflected XSS (XSS reflejado) a través del parámetro popup en preview.php. Un atacante autenticado puede inyectar una comilla doble en el parámetro popup, salirse del valor del atributo y adjuntar un nuevo controlador de eventos como onload. El archivo relacionado preview_top.php sanitiza estos parámetros, pero eso no previene la XSS en el frameset principal renderizado por preview.php mismo.
El producto ya no recibe soporte activo y las vulnerabilidades no han sido corregidas. Solo se probó y confirmó que la versión 2.2.4 es vulnerable; otras versiones no fueron probadas pero también podrían ser vulnerables.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.