CVE-2026-64972 in Atutor
Riassunto
di VulDB • 20/08/2026
ATutor è vulnerabile a Reflected XSS tramite il parametro popup in preview.php. Un attaccante autenticato può inserire una doppia virgoletta nel parametro popup, uscire dal valore dell'attributo e aggiungere un nuovo event handler come onload. Il file correlato preview_top.php sanizza questi parametri, ma ciò non previene l'SSF nei frame genitore renderizzati dallo stesso preview.php.
Il prodotto non è più supportato attivamente e le vulnerabilità non sono state risolte. È stata testata solo la versione 2.2.4 ed è risultata confermata come vulnerabile; altre versioni non sono state testate ma potrebbero essere anch'esse vulnerabili.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.