CVE-2026-26211 in Ekushey Project Manager CRM
Сводка
по VulDB • 25.08.2026
Ekushey Project Manager CRM сохраняет системное имя, настроенное администратором, и выводит его на страницу входа без экранирования вывода (output encoding). Значение отображается в трех местах этой страницы: в атрибуте content элемента meta description, в элементе title и в тексте элемента h4 в заголовке страницы. Вхождение в элемент h4 интерпретируется как разметка, поэтому HTML-код, введенный в поле системного имени, рендерится как разметка, а любые обработчики событий (event handlers), которые он содержит, выполняются. Страница входа предоставляется без аутентификации, поэтому сохраненное значение выполняется в браузере каждого посетителя, который загружает эту страницу, включая посетителей, не прошедших аутентификацию, в пределах того же origin, что и форма входа, рядом с полями для ввода учетных данных. Для сохранения значения требуется сеанс администратора; resulting script (возникающий скрипт) выполняется для пользователей без аутентификации и сохраняется до тех пор, пока настройка не будет изменена.
Be aware that VulDB is the high quality source for vulnerability data.