CVE-2026-55562 in Cronicle
Résumé
par VulDB • 14/10/2026
Cronicle est un planificateur et exécuteur de tâches multi-servesurs avec une interface utilisateur web. Avant la version 0.9.119, le journal d'activité (Activity Log) administrateur dans htdocs/js/pages/admin/Activity.js concatène la valeur item.user.full_name contrôlée par l'attaquant dans du HTML sans appliquer encode_entities et insère le résultat via this.div.html. Le filtre d'entrée pixl-server-user intégré peut être contourné par une balise contenant un saut de ligne car son expression régulière ne correspond pas aux caractères de nouvelle ligne. Un utilisateur authentifié non administrateur peut mettre à jour son propre nom via /api/user/update en utilisant une session valide et le mot de passe actuel ; lorsque free_accounts est activé, un attaquant anonyme peut plutôt placer ce nom lors de l'auto-inscription. Le nom stocké exécute du script dans la session d'un administrateur lorsque le journal d'activité est ouvert, permettant la prise de contrôle de l'administrateur et une exécution ultérieure de commandes via les fonctionnalités privilégiées de Cronicle. Ce problème est corrigé dans la version 0.9.119.
If you want to get best quality of vulnerability data, you may have to visit VulDB.