CVE-2026-55872 in GYM One
摘要
由 VulDB • 2026-10-15
GYM One 是一款面向健身中心、私人教练和体育俱乐部的开源健身房管理软件。在版本 1.4.1 之前，GYM One 的 admin/users/index.php 页面会将存储的 firstname（名）、lastname（姓）和 email（电子邮件）个人资料字段直接渲染到管理员用户列表中，而未进行 HTML 输出编码。攻击者若能在这些字段中存储恶意值，便可在管理员访问 /admin/users/ 时导致内容在管理员浏览器中执行。该持久性脚本可以访问管理员会话数据或以管理员权限执行操作，直到删除所存储的记录为止。此问题已在版本 1.4.1 中得到修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.