Abandoned Cart Lite for WooCommerce < 5.2.0 - Cross-Site Scripting

The Abandoned Cart Lite for WooCommerce and Abandoned Cart Pro for WooCommerce plugins for WordPress are vulnerable to Stored Cross-Site Scripting via multiple parameters in versions up to, and including, 5.1.3 and 7.12.0 respectively, due to insufficient input sanitization and output escaping. i...

WordPress All-In-One Video Gallery <2.5.0 - Local File Inclusion

WordPress All-in-One Video Gallery plugin before 2.5.0 is susceptible to local file inclusion. The plugin does not sanitize and validate the tab parameter before using it in a require statement in the admin dashboard. An attacker can possibly obtain sensitive information, modify data, and/or...

CVE-2022-38813

CVE-2022-38813 CodeIgniter を使用した Blood Donor Management System v 1.0 の user パラメータを介した垂直権限昇格 技術的説明: Blood Donor Management System 1.0 は admin/dashboard.php へのアクセスを適切に制限していないため、攻撃者はユーザーの全データにアクセスし、ユーザーを削除し、血液型の追加・管理、レポート提出を行うことができます。 影響を受けるコンポーネント - ソースコード 以下のソースコードから、user/dashboard...

CVE-2021-38699-Reflected-XSS

CVE-2021-38699 : TastyIgniter v3.0.7 レストランCMSにおける複数の反射型XSS 認証済み反射型XSSが、TastyIgniter Adminダッシュボードのバージョン3.0.7に存在します。 https://vulners.com/cve/CVE-2021-38699 PoC: Adminダッシュボード start パラメータ: root@kitploit: POST http://cvefarm.local/admin/dashboard HTTP/1.1 User-Agent: Mozilla/5.0 X11; Linux x8664;...

CVE-2026-25595

CVE-2026-25595 — InvoicePlane 1.7.0 中通过发票编号存储的 XSS 漏洞 漏洞类型： 通过发票编号字段存储的跨站脚本（XSS） 产品： InvoicePlane 受影响版本： 1.7.0（以及可能更早的版本） 严重性： 中危 CVSS 3.1 评分： 4.8（CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N） CWE： CWE-79：网页生成过程中输入的不当中和 发现者： Leonidas Agathos 报告日期： 2026-01-31 描述 发票表单中的 invoicenumber...

CVE-2026-7401-XSS

CET 自动化评分系统中的存储型 XSS — 学生注册（未认证 → 管理员仪表盘） 详细信息 字段| 值 ---|--- 供应商| SourceCodester 供应商 URL| https://www.sourcecodester.com 产品| 基于 PHP 和 MySQL 的 CET 自动化评分系统（含 AI 预测分析） 产品 URL| https://www.sourcecodester.com/php/18686/cet-automated-grading-system-ai-predictive-analytics-php-and-mysql.html 版本| 1.0 漏洞类...

EITS-Portal-Exploit-CVE-2026-31367-PoC

💥 CVE-2026-31367: EITS Admin Dashboard v2.4.0 - RCE PoC 此仓库包含针对 EITS Admin Dashboard v2.4.0 （CVE-2026-31367）中未认证的远程代码执行（RCE）漏洞的概念验证（PoC）。 该漏洞源于 /api/v1/debug 端点在输入清理方面的缺陷，攻击者可通过混淆的 payload 在服务器上注入并执行任意命令。 ⚠️ 法律声明（免责声明） 此脚本的创建严格用于教育和研究目的 。在未经事先双方同意的情况下，使用此工具攻击目标是非法的。作者不承担任何责任，也不对因使用本程序造成的任何滥用或损害负责。...

CVE-2025-65271

CVE-2025-65271 CVE-2025-65271のPoC 実行方法 node server.js 説明 Azuriom CMSの管理ダッシュボードにおけるクライアントサイドテンプレートインジェクション（CSTI）により、低権限ユーザーが管理者セッションのコンテキストで任意のテンプレートコードを実行できる可能性があります。これは、信頼できないユーザー入力をレンダリングするプラグインやダッシュボードコンポーネントを介して発生し、管理者アカウントへの権限昇格を可能にする可能性があります。Azuriom 1.2.7で修正されました。 免責事項（使用前にお読みください）...

cve-2026-23550-poc

CVE-2026-23550 PoC CVE-2026-23550 用の小さな Bash テスターです。影響を受ける WordPress モジュラーコネクタのログインエンドポイントにリクエストを送信し、wordpressloggedin クッキーが発行されるかどうかを確認し、管理ダッシュボードへのアクセスを確認しようとします。 警告: このツールは、所有しているシステム、またはテストする明示的な許可があるシステムに対してのみ使用してください。許可されていないセキュリティテストは違法であり、混乱を引き起こす可能性があります。 Requirements Bash 4+ curl grep...

CVE-2026-93659-writeup

CVE-2026-93659：Concrete CMS Community Store 中的存储型 XSS 导致管理员仪表盘被接管 摘要...

CVE-2025-13533

The CSS & JavaScript Toolbox WordPress plugin (all versions up to and including 12.0.6 ) is vulnerable to Stored Cross-Site Scripting via the Assignment Engine fields. The root cause is insufficient input sanitization and output escaping on assignment data fields including Expressions , URLs , an...

Vendure has stored XSS in the Admin Dashboard via unsafe HTML-stripping (innerHTML) of entity descriptions

Stored XSS in the Admin Dashboard via unsafe HTML-stripping innerHTML of entity descriptions Package: @vendure/dashboard vendure-ecommerce/vendure, latest master · Summary The dashboard's RichTextDescriptionCell "strips HTML" from an entity's description by assigning it to a live element's...

CVE-2026-63459 Vendure: Stored XSS in the Admin Dashboard via unsafe HTML-stripping (innerHTML) of entity descriptions

Vendure is an open-source headless commerce platform. Prior to 3.6.5, RichTextDescriptionCell in packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx attempts to strip markup by assigning an administrator-controlled description to a live element's innerHTML and...

CVE-2026-85589

phpMyFAQ before 4.2.0-alpha.2 contains a missing authorization vulnerability in the admin dashboard API endpoints searches and content-health that enforce only authentication without permission checks. Any authenticated user can access these endpoints to read site-wide search statistics and...

EUVD-2026-71012

phpMyFAQ before 4.2.0-alpha.2 contains a missing authorization vulnerability in the admin dashboard API endpoints searches and content-health that enforce only authentication without permission checks. Any authenticated user can access these endpoints to read site-wide search statistics and...

CVE-2026-85589: Missing Authorization

phpMyFAQ before 4.2.0-alpha.2 contains a missing authorization vulnerability in the admin dashboard API endpoints searches and content-health that enforce only authentication without permission checks. Any authenticated user can access these endpoints to read site-wide search statistics and...

CVE-2026-78364

The MW WP Form WordPress plugin before 5.1.6 does not sanitise and escape some of its form settings before outputting them back in an admin dashboard page, which could allow users with a role as low as Editor to perform Stored Cross-Site Scripting attacks against high privilege users such as admi...

EUVD-2026-68158

The MW WP Form WordPress plugin before 5.1.6 does not sanitise and escape some of its form settings before outputting them back in an admin dashboard page, which could allow users with a role as low as Editor to perform Stored Cross-Site Scripting attacks against high privilege users such as admi...

CVE-2026-78364 MW WP Form < 5.1.6 - Editor+ Stored XSS via Inquiry Data List

The MW WP Form WordPress plugin before 5.1.6 does not sanitise and escape some of its form settings before outputting them back in an admin dashboard page, which could allow users with a role as low as Editor to perform Stored Cross-Site Scripting attacks against high privilege users such as admi...

CVE-2026-78364

The MW WP Form WordPress plugin before 5.1.6 does not sanitise and escape some of its form settings before outputting them back in an admin dashboard page, which could allow users with a role as low as Editor to perform Stored Cross-Site Scripting attacks against high privilege users such as admi...