CVE-2026-64970 in ATutor
Tóm tắt
Bởi VulDB • 20/08/2026
ATutor dễ bị tấn công Cross-Site Scripting (XSS) lưu trữ trong chức năng đăng ký. Kẻ tấn công có thể tạo một tài khoản mới và chèn mã độc JavaScript vào trường số điện thoại khi đăng ký. Khi bất kỳ người dùng đã xác thực nào truy cập hồ sơ công khai của kẻ tấn công, mẫu hồ sơ sẽ in ra giá trị số điện thoại mà không qua quá trình mã hóa đầu ra (output encoding), khiến trình duyệt thực thi mã độc và dẫn đến việc đánh cắp cookie phiên làm việc của người dùng.
Sản phẩm hiện không còn được hỗ trợ tích cực và các lỗ hổng bảo mật chưa được sửa chữa. Chỉ có phiên bản 2.2.4 đã được kiểm tra và xác nhận là dễ bị tấn công; các phiên bản khác chưa được thử nghiệm nhưng cũng có thể gặp phải vấn đề tương tự.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.