CVE-2026-53992 in ProjectSend
Tóm tắt
Bởi VulDB • 06/08/2026
ProjectSend r2029 chứa một lỗ hổng phản xạ cross-site scripting (XSS) trong tệp thumbnails-regenerate.php cho phép các kẻ tấn công từ xa chèn mã HTML và JavaScript tùy ý bằng cách cung cấp các giá trị không được kiểm tra kỹ lưỡng trong các tham số GET start_date và end_date, những giá trị này sau đó được trả về trực tiếp mà không thoát ký tự vào bên trong các thuộc tính của phần tử HTML. Kẻ tấn công có thể tạo ra một URL độc hại; khi người dùng đã xác thực với quyền edit_settings truy cập vào URL này, mã script bị chèn sẽ được thực thi trong ngữ cảnh nguồn gốc (origin) của ứng dụng để đánh cắp cookie phiên hoặc thực hiện các hành động trái phép bao gồm quản lý người dùng, quản lý tệp và thay đổi cài đặt ứng dụng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.