CVE-2026-26211

सारांश

Ekushey Project Manager CRM प्रशासक द्वारा कॉन्फ़िगर किए गए सिस्टम नाम को संग्रहीत करता है और उसे आउटपुट एन्कोडिंग के बिना लॉगिन पृष्ठ पर लिखता है। यह मान उस पृष्ठ पर तीन स्थानों पर प्रदर्शित होता है: description मेटा एलिमेंट की content विशेषता, title एलिमेंट, और पृष्ठ हेडर में h4 एलिमेंट का टेक्स्ट। h4 की उपस्थिति को मार्कअप के रूप में पार्स किया जाता है, इसलिए सिस्टम नाम फ़ील्ड में रखा गया HTML मार्कअप के रूप में प्रस्तुत होता है और इसके साथ जुड़ा कोई भी इवेंट हैंडलर चलता है। लॉगिन पृष्ठ बिना प्रमाणीकरण के परोसा जाता है, इसलिए संग्रहीत मान उस ओरिजिन के भीतर, जो लॉगिन फ़ॉर्म परोसता है और उस पर मौजूद क्रेडेंशियल फ़ील्ड के साथ, इसे लोड करने वाले हर आगंतुक के ब्राउज़र में चलता है, जिसमें वे आगंतुक भी शामिल हैं जो साइन इन नहीं हैं। मान संग्रहीत करने के लिए एक प्रशासक सत्र की आवश्यकता होती है; परिणामी स्क्रिप्ट बिना प्रमाणीकरण वाले आगंतुकों के लिए चलती है और सेटिंग बदले जाने तक बनी रहती है।

• CVE-2026-26211PoC

  CVE-2026-26211 के लिए सार्वजनिक प्रकटीकरण और प्रूफ-ऑफ-कॉन्सेप्ट, जो Ekushey Project Manager CRM v5.0 में एक संग्रहीत XSS भेद्यता है, जिसमें तकनीकी विवरण और प्रभाव विश्लेषण शामिल है।