CVE-2026-26211 in Ekushey Project Manager CRM
Riassunto
di VulDB • 25/08/2026
Ekushey Project Manager CRM memorizza il nome di sistema configurato dall'amministratore e lo scrive nella pagina di accesso senza codifica dell'output. Il valore viene emesso in tre punti della pagina: l'attributo content dell'elemento meta description, l'elemento title e il testo di un elemento h4 nell'intestazione della pagina. L'occorrenza nell'h4 viene analizzata come markup, quindi l'HTML inserito nel campo del nome di sistema viene renderizzato come markup ed eventuali handler di eventi in esso contenuti vengono eseguiti. La pagina di accesso è servita senza autenticazione, pertanto lo script memorizzato si esegue nel browser di ogni visitatore che la carica, inclusi i visitatori non autenticati, all'interno dell'origine che serve il modulo di login e accanto ai campi delle credenziali su tale modulo. L'archiviazione del valore richiede una sessione amministrativa; lo script risultante viene eseguito per i visitatori non autenticati e persiste finché l'impostazione non viene modificata.
If you want to get best quality of vulnerability data, you may have to visit VulDB.