CVE-2026-61804 in myTinyWMS
要約
〜によって VulDB • 2026年10月30日
myTinyWMSは、無料のオープンソース倉庫管理システムです。バージョン1.6.4より前では、`Product (Artikel)` および `Category` の管理において、`name` パラメータが適切なバックエンドでのサニタイズなしで保存され、動的なテーブルセル（`article/index.blade.php` や `category/index.blade.php` などを含む）を通じてエスケープされていないBlade出力により生のデータベース文字列がレンダリングされます。認証済み攻撃者は、商品の作成やカテゴリのフォームを通じて悪意のある入力を保存できます。別のユーザー（ワーカーまたは管理者を含む）が対応する商品シート、カテゴリ一覧、またはダッシュボードを開くと、格納されたJavaScriptがそのユーザーのブラウザコンテキストで実行されます。これにより、クロスユーザースクリプトの実行、セッション盗難、および管理権限の乗っ取りが可能になります。この問題はバージョン1.6.4で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.