CVE-2026-26211

ملخص

Ekushey Project Manager CRM يخزن اسم النظام الذي يحدده المسؤول ويكتبه في صفحة تسجيل الدخول دون ترميز المخرجات. تُصدر القيمة في ثلاثة مواضع في تلك الصفحة: سمة المحتوى لعنصر meta للوصف، وعنصر title، ونص عنصر h4 في ترويسة الصفحة. يتم تحليل ظهور h4 كترميز، لذا فإن HTML الموضوع في حقل اسم النظام يُعرض كترميز ويتم تنفيذ أي معالج أحداث يحمله. تُقدَّم صفحة تسجيل الدخول دون مصادقة، لذا تُنفَّذ القيمة المخزنة في متصفح كل زائر يحمّلها، بما في ذلك الزوار غير المسجلين، ضمن الأصل الذي يقدّم نموذج تسجيل الدخول وبجانب حقول بيانات الاعتماد الموجودة فيه. يتطلب تخزين القيمة جلسة مسؤول؛ ويتم تنفيذ البرنامج النصي الناتج للزوار غير المصادق عليهم ويستمر حتى يتم تغيير الإعداد.

• CVE-2026-26211PoC

  إفصاح عام وإثبات مفهوم لـ CVE-2026-26211، وهي ثغرة XSS مخزنة في Ekushey Project Manager CRM الإصدار 5.0، بما في ذلك التفاصيل الفنية وتحليل الأثر.