CVE-2026-72553
ŚrednieCVSS 5.4Streszczenie
Podatność na trwały atak XSS w ElkArte Forum 2.0 Beta 1 pozwala każdemu zarejestrowanemu członkowi na wstrzyknięcie trwałego JavaScriptu do pól profilu cust_blurb i cust_locate. Pola są zapisywane bez kodowania HTML i renderowane bez escapowania w widokach profilu widocznych dla administratorów. Atakujący może wykonać kod w sesji administratora, co umożliwia przejęcie sesji lub eskalację uprawnień.
Ocena ryzyka
Przejęcie sesji administratora i eskalacja uprawnień mogą prowadzić do pełnej kompromitacji forum.
Rekomendacja
Zaktualizuj ElkArte Forum do wersji, która koduje HTML w polach profilu.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting vulnerability in ElkArte Forum 2.0 Beta 1 allows any registered member to inject persistent JavaScript into the profile fields cust_blurb and cust_locate. The fields are saved without HTML encoding and rendered unescaped in profile views visible to administrators. An attacker can craft a payload that executes in an administrator session, enabling session hijacking or privilege escalation.