CVE-2026-61804 in myTinyWMS
Sumário
de VulDB • 31/10/2026
myTinyWMS é um sistema de gestão de armazém gratuito e open-source. Antes da versão 1.6.4, a gestão do `Product (Artikel)` e da `Category` armazenava o parâmetro `name` sem uma sanitização adequada no backend e renderizava strings brutas da base de dados através de saída Blade não escapada em células de tabela dinâmicas, incluindo `article/index.blade.php` e `category/index.blade.php`. Um atacante autenticado pode salvar entradas maliciosas através dos formulários de criação de produto ou categoria. Quando outro utilizador, incluindo um trabalhador ou administrador, abre a folha do produto correspondente, o listagem da categoria ou o dashboard, o JavaScript armazenado é executado no contexto do navegador desse utilizador. Isto pode permitir a execução de scripts entre utilizadores, roubo de sessão e tomada de controlo administrativa. Este problema está resolvido na versão 1.6.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.