padayali-jd/cve-2026-29598Prueba de concepto para una vulnerabilidad XSS almacenado en cm3 Acora CMS 10.7.1, que demuestra la inyección de scripts a través de endpoints de gestión de usuarios.
DDSN Interactive cm3 Acora CMS versión 10.7.1 contiene una vulnerabilidad de Cross-Site Scripting (XSS) Almacenado en la funcionalidad de gestión de usuarios. Un administrador con la capacidad de añadir o editar detalles de usuario puede inyectar inadvertidamente scripts maliciosos en campos como "nombre" y "apellido" a través de los endpoints “/submit_add_user.asp” y “/submit_edit_user.asp”. Estos scripts se almacenan en la base de datos de la aplicación y se ejecutan siempre que los datos se renderizan en la interfaz de usuario. Esta vulnerabilidad permite a un atacante ejecutar JavaScript arbitrario en el contexto de los navegadores de otros usuarios, lo que potencialmente puede conducir al secuestro de sesiones, robo de credenciales o acciones no autorizadas realizadas en nombre de la víctima.
Descubierto por Joby Y Daniel de Crowe India.
