CVE-2026-1953 | संग्रहीत XSS — Nukegraphic CMS v3.1.2

अवलोकन

Nukegraphic CMS v3.1.2 में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है।
यह समस्या एक प्रमाणित उपयोगकर्ता को प्रोफ़ाइल नाम फ़ील्ड में दुर्भावनापूर्ण JavaScript इंजेक्ट करने की अनुमति देती है, जो बैकएंड डेटाबेस में संग्रहीत होती है और जहाँ भी नाम CMS में प्रस्तुत किया जाता है, वहाँ स्वचालित रूप से निष्पादित होती है।

• उत्पाद: Nukegraphic CMS
• संस्करण: v3.1.2
• भेद्यता प्रकार: संग्रहीत XSS (CWE-79)
• CVSS v3.1: 8.1 (उच्च)
• वेक्टर: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
• खोजकर्ता: Carlos Budiman & Nicholas Abraham

---

प्रभावित एंडपॉइंट

https://target.com/ngc-cms/user-edit-profile.php

पेलोड पूरे CMS में निष्पादित होता है।

POC चरण

1. एक वैध उपयोगकर्ता के रूप में लॉग इन करें।
2. प्रोफ़ाइल संपादित करें पर जाएँ।
3. प्रोफ़ाइल अपडेट अनुरोध को इंटरसेप्ट करें।
4. name पैरामीटर में निम्नलिखित इंजेक्ट करें:

<script>alert(1)</script>

5. अनुरोध को आगे भेजें।
6. उपयोगकर्ता नाम प्रदर्शित करने वाले किसी भी CMS पृष्ठ पर जाएँ (जो CMS में लगभग हर पृष्ठ है)।

विवरण

https://nvd.nist.gov/vuln/detail/CVE-2026-1953 https://www.cvedetails.com/cve/CVE-2026-1953/