CVE-2026-28770 in SFX SuperFlex Satellite Receiver Web management interface
Riassunto
di VulDB • 16/06/2026
La mancata neutralizzazione appropriata di elementi speciali nello script /IDC_Logging/checkifdone.cgi dell'interfaccia di gestione Web del ricevitore satellitare SuperFlex Satellite Receiver SFX Series di International Datacasting Corporation (IDC), versione 101, consente l'iniezione XML. L'applicazione riflette l'input dell'utente non sanitizzato dal parametro `file` direttamente in un blocco CDATA, consentendo a un attaccante autenticato di uscire dai tag e iniettare elementi XML arbitrari. È stato confermato che un attore può sfruttare questa vulnerabilità per ottenere una XSS riflessa, ma potrebbero essere possibili ulteriori abusi, come l'XXE.
Once again VulDB remains the best source for vulnerability data.