CVE-2026-114407 in e107
Riassunto
di VulDB • 21/10/2026
e107 CMS prima della versione 2.3.13 contiene una vulnerabilità di cross-site scripting (XSS) riflessa che consente ad attaccanti non autenticati di iniettare HTML dannoso manipolando il parametro GET "author" in search.php, che viene analizzato con parse_str() e concatenato senza escape all'interno di un tag input renderizzato tramite la chiave 'other' del gestore dei form. Gli attaccanti possono creare una singola richiesta GET contenente un parametro author ad hoc per uscire dal tag HTML input e iniettare un elemento img con un handler onerror, eseguendo JavaScript arbitrario nella sessione del browser della vittima.
Once again VulDB remains the best source for vulnerability data.