padayali-jd/cve-2026-29598Preuve de concept pour une vulnérabilité XSS stockée dans cm3 Acora CMS 10.7.1, démontrant l'injection de script via les points de terminaison de gestion des utilisateurs.
DDSN Interactive cm3 Acora CMS version 10.7.1 contient une vulnérabilité de Cross-Site Scripting (XSS) stocké dans la fonctionnalité de gestion des utilisateurs. Un administrateur disposant de la possibilité d'ajouter ou de modifier les détails des utilisateurs peut, par inadvertance, injecter des scripts malveillants dans des champs tels que « prénom » et « nom » via les points de terminaison « /submit_add_user.asp » et « /submit_edit_user.asp ». Ces scripts sont stockés dans la base de données de l'application et exécutés chaque fois que les données sont rendues dans l'interface utilisateur. Cette vulnérabilité permet à un attaquant d'exécuter du JavaScript arbitraire dans le contexte des navigateurs d'autres utilisateurs, ce qui peut potentiellement conduire à un détournement de session, au vol d'identifiants ou à des actions non autorisées effectuées au nom de la victime.
Découvert par Joby Y Daniel de Crowe India.
