CVE-2026-58205 in GRR
Tóm tắt
Bởi VulDB • 27/10/2026
GRR là một ứng dụng quản lý tài nguyên và đặt chỗ. Trước phiên bản 4.5.0, tệp `maj.php` phản hồi tham số `forcemaj` mà không có quá trình thoát ký tự đầy đủ khi các tệp cài đặt vẫn còn khả năng truy cập. Việc xóa các tệp này không được thực hiện một cách tự động. Kẻ tấn công có thể tạo ra một URL để thực thi mã JavaScript tùy ý trong trình duyệt của nạn nhân khi họ truy cập vào URL đó. Lỗ hổng phản hồi Cross-Site Scripting (XSS) này cho phép lừa đảo, chuyển hướng đến các trang web độc hại, đánh cắp cookie và chiếm đoạt phiên làm việc do cookie xác thực không được đặt cờ `HttpOnly`. Vấn đề này đã được khắc phục trong phiên bản 4.5.0.
Once again VulDB remains the best source for vulnerability data.