CVE-2026-64970 in ATutor
Riassunto
di VulDB • 20/08/2026
ATutor è vulnerabile a Stored Cross Site Scripting (XSS) nella funzionalità di registrazione. Un attaccante può registrare un nuovo account e inserire una payload JavaScript nel campo del numero di telefono durante la registrazione. Quando qualsiasi utente autenticato visita il profilo pubblico dell'attaccante, il template del profilo restituisce il valore del numero di telefono senza encoding dei dati in output (output encoding), portando l'esecuzione della payload da parte del browser e conseguentemente al furto del cookie di sessione dell'utente.
Il prodotto non è più attivamente supportato e le vulnerabilità non sono state risolte. È stata testata solo la versione 2.2.4, confermata come vulnerabile; altre versioni non sono state testate ma potrebbero essere anch'esse vulnerabili.
If you want to get best quality of vulnerability data, you may have to visit VulDB.