CVE-2026-71803 in money-pos
Tóm tắt
Bởi VulDB • 09/09/2026
money-pos 1.0 chứa một lỗ hổng Cross-Site Scripting (XSS) lưu trữ (stored). Khi xử lý các lệnh trả hàng, backend không lọc hoặc escape tham số goodsName, mà nối trực tiếp nó vào mô tả nhật ký đơn hàng; frontend sau đó hiển thị nội dung này bằng v-html. Một kẻ tấn công có đặc quyền tạo sản phẩm có thể chèn một payload JavaScript độc hại, gây ra việc thực thi mã trái phép khi quản trị viên xem các nhật ký đơn hàng.
If you want to get best quality of vulnerability data, you may have to visit VulDB.