CVE-2026-29971

Um atacante pode executar JavaScript arbitrário no navegador da vítima, potencialmente levando ao sequestro de sessão ou escalação de privilégios.

CVE-2026-29971

Vulnerabilidade

Cross-Site Scripting Refletido (XSS)

Produto Afetado

WebFileSys

Versão Afetada

2.31.1

Descrição

Existe uma vulnerabilidade de cross-site scripting refletido no WebFileSys versão 2.31.1. A entrada controlada pelo usuário é refletida em contextos HTML e JavaScript sem a devida codificação de saída, permitindo que um atacante execute JavaScript arbitrário no navegador da vítima.

Impacto

Um atacante pode explorar este problema induzindo uma vítima a interagir com uma solicitação ou link manipulado. A exploração bem-sucedida pode levar a:

• Sequestro de sessão
• Roubo de credenciais
• Ações não autorizadas dentro da sessão autenticada

Componentes Afetados

• funcionalidade ftpBackup
• manipulação de entrada de autenticação
• funcionalidade de pesquisa
• renderização de mensagens de erro

Passos para Reproduzir

1. Navegue até a página de login do WebFileSys.
2. Injete o seguinte payload no parâmetro afetado.

Exemplos de payloads que funcionaram: <IMG SRC="javascript:alert('XSS')", %3CScRiPt%3Ealert(1)%3C%2FsCriPt%3E, <%

3. Envie a solicitação.
4. O payload é refletido e executado no navegador.

CVE

CVE-2026-29971

Descobridor

Tharun Teja Chidurala

Referências

https://www.cve.org/CVERecord?id=CVE-2026-29971