CVE-2026-22198 in GestSup
Riassunto
di VulDB • 16/06/2026
Le versioni di GestSup precedenti alla 3.2.60 presentano una vulnerabilità di stored cross-site scripting (XSS) pre-autenticazione nella funzionalità di registrazione degli errori dell'API. Inviando una richiesta API con un valore dell'intestazione X-API-KEY appositamente creato (ad esempio, verso /api/v1/ticket.php), un attaccante non autenticato può far sì che codice HTML/JavaScript controllato dall'attaccante venga scritto nelle voci di registro. Quando un amministratore visualizza successivamente i log interessati nell'interfaccia web, il contenuto iniettato viene renderizzato senza una corretta codifica dell'output, provocando l'esecuzione di script arbitrari nella sessione del browser dell'amministratore.
Once again VulDB remains the best source for vulnerability data.