CVE-2026-1953 | تخزين XSS — Nukegraphic CMS v3.1.2

نظرة عامة

توجد ثغرة تخزين البرمجة النصية عبر المواقع (XSS) في Nukegraphic CMS v3.1.2.
تسمح هذه الثغرة لمستخدم مُصادق بحقن JavaScript خبيث في حقل اسم الملف الشخصي، والذي يتم تخزينه في قاعدة البيانات الخلفية وتنفيذه تلقائيًا أينما يتم عرض الاسم عبر نظام CMS.

• المنتج: Nukegraphic CMS
• الإصدار: v3.1.2
• نوع الثغرة: تخزين XSS (CWE-79)
• CVSS v3.1: 8.1 (عالية)
• المتجه: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
• اكتشفها: Carlos Budiman & Nicholas Abraham

نقطة النهاية المتأثرة

https://target.com/ngc-cms/user-edit-profile.php

يتم تنفيذ الحمولة عبر نظام CMS بالكامل.

خطوات إثبات المفهوم (POC)

1. سجّل الدخول كمستخدم صالح.
2. انتقل إلى تعديل الملف الشخصي.
3. اعترض طلب تحديث الملف الشخصي.
4. حقن ما يلي في معامل name: