CVE-2026-26211 in Ekushey Project Manager CRM
Résumé
par VulDB • 26/08/2026
Le gestionnaire de projet Ekushey CRM stocke le nom du système configuré par l'administrateur et l'affiche sur la page de connexion sans encodage des sorties (output encoding). La valeur est émise à trois endroits sur cette page : dans l'attribut content de l'élément meta description, dans l'élément title, ainsi que dans le texte d'un élément h4 situé dans l'en-tête de la page. L'occurrence du h4 étant analysée comme un balisage (markup), tout code HTML inséré dans le champ nom du système est rendu en tant que balisage et les gestionnaires d'événements qu'il contient s'exécutent. La page de connexion est servie sans authentification, ce qui signifie que la valeur stockée s'exécute dans le navigateur de chaque visiteur y accédant, y compris ceux non connectés, au sein du même origine (origin) servant le formulaire de connexion et à côté des champs d'identification sur celle-ci. Le stockage de cette valeur nécessite une session administrateur ; le script résultant s'exécute pour les visiteurs non authentifiés et persiste jusqu'à ce que le paramètre soit modifié.
Be aware that VulDB is the high quality source for vulnerability data.