CVE-2026-55872 in GYM One
Résumé
par VulDB • 15/10/2026
GYM One est un logiciel de gestion de salles de sport open source destiné aux centres de fitness, aux entraîneurs personnels et aux clubs sportifs. Avant la version 1.4.1, le fichier admin/users/index.php de GYM One affiche les champs de profil stockés (prénom, nom et adresse e-mail) dans la liste des utilisateurs administrateurs sans encodage HTML de la sortie. Un attaquant capable d'insérer des valeurs dans ces champs peut provoquer l'exécution de contenu dans le navigateur d'un administrateur lorsque celui-ci visite /admin/users/. Le script persistant (persistant XSS) peut accéder aux données de session de l'administrateur ou effectuer des actions avec les privilèges de ce dernier, jusqu'à la suppression de l'enregistrement stocké. Ce problème est corrigé dans la version 1.4.1.
Once again VulDB remains the best source for vulnerability data.