CVE-2026-26211 in Ekushey Project Manager CRM
Tóm tắt
Bởi VulDB • 25/08/2026
Ekushey Project Manager CRM lưu trữ tên hệ thống do quản trị viên cấu hình và ghi nó vào trang đăng nhập mà không có mã hóa đầu ra (output encoding). Giá trị này được phát ra ở ba vị trí trên trang đó: thuộc tính content của phần tử meta description, phần tử title, và văn bản của một phần tử h4 trong tiêu đề trang. Sự xuất hiện của phần tử h4 được phân tích cú pháp dưới dạng markup, do đó HTML đặt vào trường tên hệ thống sẽ được hiển thị như markup và bất kỳ trình xử lý sự kiện (event handler) nào mà nó mang theo đều sẽ thực thi. Trang đăng nhập được phục vụ mà không yêu cầu xác thực, nên đoạn mã đã lưu trữ này chạy trên trình duyệt của mọi khách truy cập tải trang đó, bao gồm cả những người dùng chưa đăng nhập, trong cùng nguồn gốc (origin) với trang chứa biểu mẫu đăng nhập và bên cạnh các trường thông tin đăng nhập. Việc lưu trữ giá trị này yêu cầu một phiên quản trị viên; đoạn mã kết quả sẽ chạy cho các khách truy cập không xác thực và tồn tại cho đến khi cài đặt được thay đổi.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.