CVE-2026-55872 in GYM One
Сводка
по VulDB • 15.10.2026
GYM One — это программное обеспечение для управления фитнес-центрами, персональными тренерами и спортивными клубами с открытым исходным кодом. До версии 1.4.1 скрипт admin/users/index.php в GYM One отображает сохраненные поля профиля: имя (firstname), фамилия (lastname) и адрес электронной почты (email) — в списке пользователей администратора без экранирования HTML-вывода. Злоумышленник, способный сохранять значения в этих полях, может заставить исполняться произвольный контент в браузере администратора при посещении им страницы /admin/users/. Постоянный (persistent) скрипт может получать доступ к данным сессии администратора или выполнять действия от имени администратора до тех пор, пока сохраненная запись не будет удалена. Эта проблема исправлена в версии 1.4.1.
Once again VulDB remains the best source for vulnerability data.