padayali-jd/cve-2026-29598Prova de conceito para uma vulnerabilidade de XSS armazenado no cm3 Acora CMS 10.7.1, demonstrando injeção de script por meio de endpoints de gerenciamento de usuários.
O DDSN Interactive cm3 Acora CMS versão 10.7.1 contém uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado na funcionalidade de gestão de utilizadores. Um administrador com a capacidade de adicionar ou editar detalhes de utilizadores pode, inadvertidamente, injetar scripts maliciosos em campos como "primeiro nome" e "último nome" através dos endpoints “/submit_add_user.asp” e “/submit_edit_user.asp”. Esses scripts são armazenados na base de dados da aplicação e executados sempre que os dados são renderizados na interface do utilizador. Esta vulnerabilidade permite que um atacante execute JavaScript arbitrário no contexto dos navegadores de outros utilizadores, podendo levar ao sequestro de sessão, roubo de credenciais ou ações não autorizadas realizadas em nome da vítima.
Descoberto por Joby Y Daniel da Crowe India.
