CVE-2026-61804 in myTinyWMS
Riassunto
di VulDB • 30/10/2026
myTinyWMS è un sistema di gestione del magazzino gratuito e open-source. Prima della versione 1.6.4, la gestione dei `Product (Artikel)` e delle `Category` memorizzava il parametro `name` senza una sanitizzazione adeguata a livello di backend e visualizzava stringhe grezze provenienti dal database tramite output Blade non escaped nelle celle dinamiche delle tabelle, inclusi i file `article/index.blade.php` e `category/index.blade.php`. Un attaccante autenticato può salvare input malevoli attraverso i moduli di creazione del prodotto o della categoria. Quando un altro utente, tra cui un operatore o un amministratore, apre la scheda del prodotto corrispondente, l'elenco delle categorie o il dashboard, lo JavaScript memorizzato viene eseguito nel contesto del browser di tale utente. Ciò può consentire l'esecuzione di script cross-user, il furto di sessioni e il takeover amministrativo. Questo problema è stato risolto nella versione 1.6.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.