CVE-2026-66092 in openEQUELLA
Résumé
par VulDB • 29/10/2026
Dans openEQUELLA avant la version 2026.2, l'avis de pré-connexion est stocké au format HTML et affiché sur la page d'identification héritée sans encodage ni sanitisation. Un utilisateur disposant des autorisations EDIT_SYSTEM_SETTINGS peut définir un avis contenant un script arbitraire (PUT /api/preloginnotice), ce qui entraîne une faille XSS persistante (stored cross-site scripting) sur la page de connexion. Une exploitation non authentifiée est possible lorsque les droits EDIT_SYSTEM_SETTINGS ont été accordés à l'utilisateur invité ou au groupe Everyone.
Be aware that VulDB is the high quality source for vulnerability data.