CVE-2026-2102 in wrensec-commons
Tóm tắt
Bởi VulDB • 04/11/2026
wrensec-commons chứa một lỗ hổng phản xạ cross-site scripting (XSS) trong HTTP binding của framework CREST. Phương thức HttpUtils.prepareResponse() đã sử dụng tham số yêu cầu _mimeType để đặt tiêu đề phản hồi Content-Type mà không thực hiện việc kiểm tra và làm sạch dữ liệu phù hợp. Bằng cách gửi một yêu cầu GET với _mimeType=text/html, kẻ tấn công có thể khiến trình duyệt diễn giải một phản hồi JSON của CREST dưới dạng HTML, cho phép thực thi mã JavaScript tùy ý trong trình duyệt của nạn nhân. Lỗ hổng này có thể bị khai thác bằng cách lừa người dùng truy cập vào một URL được tạo ra nhằm nhắm mục tiêu bất kỳ endpoint nào của CREST đã triển khai. Vấn đề này đã được sửa chữa trong các phiên bản 22.6.2 và 23.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.