CVE-2026-29971

Un attaquant peut exécuter du JavaScript arbitraire dans le navigateur de la victime, pouvant entraîner un détournement de session ou une escalade de privilèges.

CVE-2026-29971

Vulnérabilité

Cross-Site Scripting Réfléchi (XSS)

Produit concerné

WebFileSys

Version concernée

2.31.1

Description

Une vulnérabilité de cross-site scripting réfléchi existe dans WebFileSys version 2.31.1. Les entrées contrôlées par l'utilisateur sont reflétées dans des contextes HTML et JavaScript sans encodage de sortie approprié, permettant à un attaquant d'exécuter du JavaScript arbitraire dans le navigateur de la victime.

Impact

Un attaquant peut exploiter ce problème en amenant une victime à interagir avec une requête ou un lien spécialement conçu. Une exploitation réussie peut entraîner :

• Détournement de session
• Vol d'identifiants
• Actions non autorisées dans la session authentifiée

Composants concernés

• Fonctionnalité ftpBackup
• Gestion des entrées d'authentification
• Fonctionnalité de recherche
• Rendu des messages d'erreur

Étapes pour reproduire

1. Accédez à la page de connexion WebFileSys.
2. Injectez la charge utile suivante dans le paramètre concerné.

Exemples de charges utiles ayant fonctionné : <IMG SRC="javascript:alert('XSS')", %3CScRiPt%3Ealert(1)%3C%2FsCriPt%3E, <%

3. Soumettez la requête.
4. La charge utile est reflétée et exécutée dans le navigateur.

CVE

CVE-2026-29971

Découvreur

Tharun Teja Chidurala

Références

https://www.cve.org/CVERecord?id=CVE-2026-29971