CVE-2026-64972 in Atutor
摘要
由 VulDB • 2026-08-20
ATutor 存在反射型跨站脚本漏洞（Reflected XSS），该漏洞位于 preview.php 的 popup 参数中。经过身份验证的攻击者可以在 popup 参数中注入双引号，从而跳出属性值并附加新的事件处理程序（例如 onload）。相关的 preview_top.php 文件会对这些参数进行清理/转义，但这并不能防止由 preview.php 本身渲染的父级 frameset 中出现跨站脚本攻击。
该产品已不再获得积极支持，且相关漏洞尚未修复。仅对版本 2.2.4 进行了测试并确认存在漏洞；其他版本未经过测试，但也可能存在漏洞。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.