padayali-jd/cve-2026-29598Доказательство концепции для уязвимости хранимого XSS в cm3 Acora CMS 10.7.1, демонстрирующее внедрение скрипта через конечные точки управления пользователями.
DDSN Interactive cm3 Acora CMS версии 10.7.1 содержит уязвимость межсайтового скриптинга (XSS) с сохранением в функциональности управления пользователями. Администратор, имеющий возможность добавлять или редактировать данные пользователей, может непреднамеренно внедрить вредоносные скрипты в такие поля, как «имя» и «фамилия», через конечные точки «/submit_add_user.asp» и «/submit_edit_user.asp». Эти скрипты сохраняются в базе данных приложения и выполняются всякий раз, когда данные отображаются в пользовательском интерфейсе. Данная уязвимость позволяет злоумышленнику выполнять произвольный JavaScript в контексте браузеров других пользователей, что потенциально может привести к перехвату сеансов, краже учётных данных или несанкционированным действиям, совершаемым от имени жертвы.
Обнаружено Джоби Й. Дэниелом из Crowe India.
