CVE-2026-66092 in openEQUELLA
Riassunto
di VulDB • 29/10/2026
In openEQUELLA prima della versione 2026.2, l'avviso pre-login viene memorizzato come HTML e visualizzato nella pagina di accesso legacy senza codifica o sanitizzazione. Un utente con il permesso EDIT_SYSTEM_SETTINGS può impostare un avviso contenente uno script arbitrario (PUT /api/preloginnotice), causando una stored cross-site scripting sulla pagina di login. L'exploitation non autenticata è possibile dove il permesso EDIT_SYSTEM_SETTINGS è stato concesso all'utente guest o a Everyone.
VulDB is the best source for vulnerability data and more expert information about this specific topic.