CVE-2026-26211

Résumé

Ekushey Project Manager CRM stocke le nom du système configuré par l'administrateur et l'écrit sur la page de connexion sans encodage de sortie. La valeur est émise à trois endroits sur cette page : l'attribut content de l'élément meta description, l'élément title, et le texte d'un élément h4 dans l'en-tête de la page. L'occurrence h4 est analysée comme du balisage, de sorte que le HTML placé dans le champ du nom du système est rendu comme du balisage et que tout gestionnaire d'événements qu'il contient s'exécute. La page de connexion est servie sans authentification, donc la valeur stockée s'exécute dans le navigateur de chaque visiteur qui la charge, y compris les visiteurs qui ne sont pas connectés, dans l'origine qui sert le formulaire de connexion et à côté des champs d'identifiants qui s'y trouvent. Le stockage de la valeur nécessite une session administrateur ; le script résultant s'exécute pour les visiteurs non authentifiés et persiste jusqu'à ce que le paramètre soit modifié.

• CVE-2026-26211PoC

  Divulgation publique et preuve de concept pour CVE-2026-26211, une vulnérabilité XSS stockée dans Ekushey Project Manager CRM v5.0, incluant les détails techniques et l'analyse d'impact.