padayali-jd/cve-2026-29598Proof-of-Concept für eine gespeicherte XSS-Schwachstelle in cm3 Acora CMS 10.7.1, die die Skriptinjektion über Benutzerverwaltungs-Endpunkte demonstriert.
DDSN Interactive cm3 Acora CMS Version 10.7.1 enthält eine Stored Cross-Site Scripting (XSS)-Schwachstelle in der Benutzerverwaltungsfunktion. Ein Administrator mit der Berechtigung, Benutzerdetails hinzuzufügen oder zu bearbeiten, kann versehentlich bösartige Skripte in Felder wie „Vorname“ und „Nachname“ über die Endpunkte „/submit_add_user.asp“ und „/submit_edit_user.asp“ injizieren. Diese Skripte werden in der Datenbank der Anwendung gespeichert und ausgeführt, sobald die Daten in der Benutzeroberfläche gerendert werden. Diese Schwachstelle ermöglicht es einem Angreifer, beliebiges JavaScript im Kontext der Browser anderer Benutzer auszuführen, was möglicherweise zu Session-Hijacking, Diebstahl von Anmeldedaten oder unbefugten Aktionen im Namen des Opfers führen kann.
Entdeckt von Joby Y Daniel von Crowe India.
