CVE-2026-61804 in myTinyWMS
요약
\~에 의해 VulDB • 2026. 10. 31.
myTinyWMS는 무료 오픈소스 창고 관리 시스템입니다. 버전 1.6.4 이전에서는 `Product(Artikel)` 및 `Category` 관리에서 `name` 매개변수가 적절한 백엔드 sanitization 없이 저장되고, 동적 테이블 셀을 통해 unescaped Blade 출력을 사용하여 raw database strings가 렌더링됩니다(여기에는 `article/index.blade.php` 및 `category/index.blade.php` 포함). 인증된 공격자는 제품 생성 또는 카테고리 양식을 통해 악성 입력을 저장할 수 있습니다. 다른 사용자(작업자나 관리자 포함)가 해당 제품 시트, 카테고리 목록 또는 대시보드를 열면 저장된 JavaScript가 그 사용자의 브라우저 컨텍스트에서 실행됩니다. 이를 통해 cross-user script execution, session theft 및 administrative takeover가 가능해집니다. 이 문제는 버전 1.6.4에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.