CVE-2026-26211: Ekushey Project Manager CRM में स्टोर्ड XSS

उत्पाद: Ekushey Project Manager CRM
संस्करण: 5.0
भेद्यता: स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (XSS)
CWE: CWE-79
शोधकर्ता: LINDAN TRI SAPUTRA
प्रारंभिक रिपोर्ट: 1 अगस्त, 2026

---

सारांश

Ekushey Project Manager CRM संस्करण 5.0 में एक स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता की पहचान की गई थी। यह समस्या एप्लिकेशन सेटिंग्स में, विशेष रूप से Name फ़ील्ड के भीतर मौजूद है। उपयोगकर्ता-नियंत्रित HTML इनपुट को उचित सैनिटाइज़ेशन या आउटपुट एन्कोडिंग के बिना संग्रहीत किया जाता है, जिससे पृष्ठ प्रस्तुत होने पर मनमाना JavaScript निष्पादन होता है।

---

प्रभावित घटक

Settings → Name

• कॉन्फ़िगर किया गया एप्लिकेशन नाम डेटाबेस में संग्रहीत किया जाता है।
• इसके बाद इसे उचित एस्केपिंग के बिना एप्लिकेशन इंटरफ़ेस में प्रदर्शित किया जाता है।
• प्रदर्शित नाम को देखने वाला कोई भी प्रमाणित उपयोगकर्ता (Admin, Staff, या Client) इस भेद्यता के प्रति उजागर होता है।

---

प्रूफ़ ऑफ़ कॉन्सेप्ट (PoC)

1. व्यवस्थापक के रूप में एप्लिकेशन में लॉग इन करें।
2. Settings पर जाएँ।
3. सिस्टम Name फ़ील्ड का पता लगाएँ।
4. निम्नलिखित हानिरहित XSS परीक्षण पेलोड डालें:

5. सेटिंग्स सहेजें।
6. कोई भी पेज खोलें जहाँ कॉन्फ़िगर किया गया एप्लिकेशन नाम प्रदर्शित होता है (जैसे, डैशबोर्ड, हेडर, ईमेल)।

संग्रहीत मान रेंडर होने पर JavaScript निष्पादित होता है।

---

प्रभाव

चूँकि पेलोड एप्लिकेशन में संग्रहीत है, यह समस्या सभी उपयोगकर्ताओं को प्रभावित करती है, न कि केवल उस व्यवस्थापक को जिसने शुरू में सेटिंग संशोधित की थी। इस बात पर निर्भर करते हुए कि एप्लिकेशन नाम कहाँ रेंडर होता है और कौन से उपयोगकर्ता उन पेजों तक पहुँच सकते हैं, संग्रहीत पेलोड स्टाफ, क्लाइंट या अन्य प्रमाणित उपयोगकर्ताओं के ब्राउज़र में निष्पादित हो सकता है।

संभावित प्रभाव में शामिल हैं:

• प्रभावित उपयोगकर्ताओं के ब्राउज़र में मनमाना JavaScript निष्पादन
• एप्लिकेशन UI में हेरफेर (जैसे, डिफेसमेंट, नकली सूचनाएँ)
• विश्वसनीय एप्लिकेशन ओरिजिन के भीतर फ़िशिंग या स्पूफ़िंग
• पीड़ित के प्रमाणित एप्लिकेशन संदर्भ में क्रियाएँ करना (सत्र अपहरण, CSRF बायपास)

---

वीडियो प्रूफ़ ऑफ़ कॉन्सेप्ट

CVE-2026-26211 का वीडियो प्रदर्शन नीचे उपलब्ध है:

YouTube पर PoC देखने के लिए छवि पर क्लिक करें

सीधा लिंक: https://youtu.be/b8gRD9jpvak?si=otEalAgZexiENIfh

---

प्रकटीकरण समयरेखा

तिथि	घटना
1 अगस्त, 2026	भेद्यता VulnCheck को सबमिट की गई
अगस्त 2026	VulnCheck ने सबमिशन को सत्यापित किया और पुष्टि की कि यह CVE असाइनमेंट के लिए योग्य है
अगस्त 2026	CVE-2026-26211 असाइन किया गया
25 अगस्त, 2026	VulnCheck के अनुरोध के अनुसार सार्वजनिक तकनीकी प्रकटीकरण प्रकाशित

---

शोधकर्ता

LINDAN TRI SAPUTRA
स्वतंत्र सुरक्षा शोधकर्ता
GitHub: https://github.com/LindHunt

---

संदर्भ

• CVE-2026-26211: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-26211
• CWE-79: वेब पेज जनरेशन के दौरान इनपुट का अनुचित न्यूट्रलाइज़ेशन (XSS)
  https://cwe.mitre.org/data/definitions/79.html

---

अस्वीकरण

यह रिपोर्ट केवल शैक्षिक और सुरक्षा जागरूकता उद्देश्यों के लिए प्रदान की गई है। पहचान की गई भेद्यता को सार्वजनिक रिलीज़ से पहले विक्रेता या संबंधित समन्वय प्राधिकरण (VulnCheck) को ज़िम्मेदारीपूर्वक प्रकट किया गया है। इस भेद्यता का अनधिकृत शोषण अवैध और अनैतिक है।

---

डेवलपर्स के लिए सिफ़ारिशें

इस भेद्यता को ठीक करने के लिए:

• उपयोगकर्ता-नियंत्रित इनपुट रेंडर करते समय संदर्भ-जागरूक आउटपुट एन्कोडिंग लागू करें।
• सभी सेटिंग्स फ़ील्ड के लिए सख्त इनपुट सत्यापन और सैनिटाइज़ेशन लागू करें।
• XSS जोखिमों को कम करने के लिए Content Security Policy (CSP) हेडर का उपयोग करें।
• रिच-टेक्स्ट इनपुट फ़िल्टर करने के लिए HTML Purifier या समान लाइब्रेरी का उपयोग करने पर विचार करें।

---

सुरक्षित रहें, सतर्क रहें।