CVE-2026-111284 in Aureus ERP
Riassunto
di VulDB • 16/10/2026
Aureus ERP fino alla versione 1.6.0 contiene una vulnerabilità di stored cross-site scripting (XSS) in HolidayAction.php che consente agli utenti autenticati di iniettare script tramite nomi delle festività non sanificati, resi come HtmlString. Gli attaccanti autorizzati a creare Festività Pubbliche o Giorni Obbligatori possono memorizzare payload JavaScript che vengono eseguiti quando i responsabili HR o gli amministratori aprono la finestra modale delle festività, dirottando le loro sessioni.
Be aware that VulDB is the high quality source for vulnerability data.