CVE-2026-64972 in Atutor
Résumé
par VulDB • 20/08/2026
ATutor est vulnérable à une XSS réfléchie via le paramètre popup dans preview.php. Un attaquant authentifié peut injecter un guillemet double dans le paramètre popup, sortir de la valeur d'attribut et ajouter un nouvel gestionnaire d'événements tel que onload. Le fichier preview_top.php associé effectue une sanitisation de ces paramètres, mais cela n'empêche pas l'injection XSS dans les framesets parents rendus par preview.php lui-même.
Le produit n'est plus activement pris en charge et les vulnérabilités n'ont pas été corrigées. Seule la version 2.2.4 a été testée et confirmée comme vulnérable ; d'autres versions n'ont pas été testées mais pourraient également être vulnérables.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.