CVE-2026-29598: cm3 Acora CMS バージョン 10.7.1 における格納型クロスサイトスクリプティング（XSS）

DDSN Interactive の cm3 Acora CMS バージョン 10.7.1 には、ユーザー管理機能に格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。ユーザー詳細の追加または編集が可能な管理者は、「/submit_add_user.asp」および「/submit_edit_user.asp」のエンドポイントを介して、「名」や「姓」などのフィールドに悪意のあるスクリプトを誤って注入する可能性があります。これらのスクリプトはアプリケーションのデータベースに保存され、データがユーザーインターフェースにレンダリングされるたびに実行されます。この脆弱性により、攻撃者は他のユーザーのブラウザのコンテキストで任意の JavaScript を実行でき、セッションハイジャック、認証情報の窃取、または被害者に代わっての不正な操作につながる可能性があります。

Crowe India の Joby Y Daniel によって発見されました。