CVE-2026-29971

Ein Angreifer kann beliebiges JavaScript im Browser des Opfers ausführen, was potenziell zu Session-Hijacking oder Rechteausweitung führen kann.

CVE-2026-29971

Schwachstelle

Reflektiertes Cross-Site Scripting (XSS)

Betroffenes Produkt

WebFileSys

Betroffene Version

2.31.1

Beschreibung

Eine reflektierte Cross-Site-Scripting-Schwachstelle existiert in WebFileSys Version 2.31.1. Benutzergesteuerte Eingaben werden ohne ordnungsgemäße Ausgabekodierung in HTML- und JavaScript-Kontexte eingefügt, sodass ein Angreifer beliebiges JavaScript im Browser des Opfers ausführen kann.

Auswirkung

Ein Angreifer kann diesen Fehler ausnutzen, indem er ein Opfer dazu bringt, mit einer manipulierten Anfrage oder einem manipulierten Link zu interagieren. Eine erfolgreiche Ausnutzung kann zu Folgendem führen:

• Session-Hijacking
• Diebstahl von Anmeldeinformationen
• Unautorisierte Aktionen in der authentifizierten Sitzung

Betroffene Komponenten

• ftpBackup-Funktionalität
• Authentifizierungseingabe-Verarbeitung
• Suchfunktionalität
• Fehlermeldungsdarstellung

Schritte zur Reproduktion

1. Navigieren Sie zur WebFileSys-Anmeldeseite.
2. Fügen Sie das folgende Payload in den betroffenen Parameter ein.

Beispiel-Payloads, die funktionierten: <IMG SRC="javascript:alert('XSS')", %3CScRiPt%3Ealert(1)%3C%2FsCriPt%3E, <%

3. Senden Sie die Anfrage ab.
4. Das Payload wird im Browser reflektiert und ausgeführt.

CVE

CVE-2026-29971

Entdecker

Tharun Teja Chidurala

Referenzen

https://www.cve.org/CVERecord?id=CVE-2026-29971