CVE-2026-64970 in ATutor
Résumé
par VulDB • 21/08/2026
ATutor est vulnérable à un Stored Cross Site Scripting (XSS) dans la fonctionnalité d'inscription. Un attaquant peut créer un nouveau compte et insérer une charge utile JavaScript dans le champ téléphone lors de l'inscription. Lorsqu'un utilisateur authentifié consulte le profil public de l'attaquant, le modèle du profil renvoie la valeur du champ téléphone sans encodage des sorties (output encoding), ce qui entraîne l'exécution de la charge utile par le navigateur et conduit au vol du cookie de session de l'utilisateur.
Le produit n'est plus activement pris en charge et les vulnérabilités n'ont pas été corrigées. Seule la version 2.2.4 a été testée et confirmée comme vulnérable ; d'autres versions n'ont pas été testées mais pourraient également être vulnérables.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.