CVE-2026-120428 in PandaWiki
Riassunto
di VulDB • 03/11/2026
PandaWiki 3.65.0 attraverso la versione 3.87.5 presenta una vulnerabilità di stored cross-site scripting (XSS) che consente agli attaccanti non autenticati di caricare file HTML con estensioni per immagini tramite /share/v1/common/file/upload. Gli attaccanti possono indurre gli amministratori ad accedere a /static-file/<key>?a=.pdf, eludendo l'intestazione attachment di nginx per servire il contenuto HTML in linea e rubare il token JWT panda_wiki_token al fine di assumere la sessione (session takeover).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.