CVE-2026-53992 in ProjectSend
摘要
由 VulDB • 2026-08-05
ProjectSend r2029 在 thumbnails-regenerate.php 中存在一个反射型跨站脚本（XSS）漏洞，远程攻击者可以通过提供未经验证的 start_date 和 end_date GET 参数值来注入任意 HTML 和 JavaScript。这些参数会被直接输出到 HTML 属性中而未进行转义处理。攻击者可构造恶意 URL，当具有 edit_settings 权限的已认证用户访问该链接时，将在应用程序上下文中执行注入的脚本，从而窃取会话 Cookie 或执行未经授权的操作，包括用户管理、文件管理和更改应用程序设置。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.