CVE-2021-38699-Reflected-XSS

CVE-2021-38699 : TastyIgniter v3.0.7 레스토랑 CMS의 다중 반사형 XSS 인증된 반사형 XSS가 TastyIgniter 관리자 대시보드 버전 3.0.7에 존재합니다. https://vulners.com/cve/CVE-2021-38699 POC: 관리자 대시보드 start 매개변수: POST http://cvefarm.local/admin/dashboard HTTP/1.1 User-Agent: Mozilla/5.0 X11; Linux x8664; rv:78.0 Gecko/20100101...

WordPress All-In-One Video Gallery <2.5.0 - Local File Inclusion

WordPress All-in-One Video Gallery plugin before 2.5.0 is susceptible to local file inclusion. The plugin does not sanitize and validate the tab parameter before using it in a require statement in the admin dashboard. An attacker can possibly obtain sensitive information, modify data, and/or...

Abandoned Cart Lite for WooCommerce < 5.2.0 - Cross-Site Scripting

The Abandoned Cart Lite for WooCommerce and Abandoned Cart Pro for WooCommerce plugins for WordPress are vulnerable to Stored Cross-Site Scripting via multiple parameters in versions up to, and including, 5.1.3 and 7.12.0 respectively, due to insufficient input sanitization and output escaping. i...

CVE-2022-38813

CVE-2022-38813 Codeigniter 기반 Blood Donor Management System v1.0의 user 매개변수를 통한 수직적 권한 상승 기술 설명: Blood Donor Management System 1.0은 admin/dashboard.php에 대한 접근을 적절히 제한하지 않습니다. 이로 인해 공격자는 모든 사용자 데이터에 접근하고, 사용자를 삭제하며, Blood Group혈액형을 추가 및 관리하고 보고서를 제출할 수 있습니다. 영향을 받는 구성 요소 - 소스 코드 다음 소스 코드에서...

CVE-2026-25595

CVE-2026-25595 — InvoicePlane 1.7.0의 송장 번호를 통한 저장형 XSS 취약점: 송장 번호 필드를 통한 저장형 교차 사이트 스크립팅XSS 제품: InvoicePlane 영향을 받는 버전: 1.7.0및 이전 버전일 가능성 있음 심각도: 중간 CVSS 3.1 점수: 4.8 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N CWE: CWE-79: 웹 페이지 생성 중 입력의 부적절한 중화 발견자: Leonidas Agathos 보고 날짜: 2026-01-31 설명 송장 양식의...

CVE-2026-7401-XSS

CET 자동 채점 시스템의 저장형 XSS — 학생 등록 인증 없음 → 관리자 대시보드 세부 정보 필드| 값 ---|--- 공급업체| SourceCodester 공급업체 URL| https://www.sourcecodester.com 제품| PHP 및 MySQL 기반 AI 예측 분석 기능을 갖춘 CET 자동 채점 시스템 제품 URL| https://www.sourcecodester.com/php/18686/cet-automated-grading-system-ai-predictive-analytics-php-and-mysql.ht...

EITS-Portal-Exploit-CVE-2026-31367-PoC

💥 CVE-2026-31367: EITS Admin Dashboard v2.4.0 - RCE PoC 이 저장소에는 EITS Admin Dashboard v2.4.0CVE-2026-31367의 인증되지 않은 원격 코드 실행RCE 취약점에 대한 개념 증명PoC이 포함되어 있습니다. 이 취약점은 /api/v1/debug 엔드포인트의 입력값 검증sanitization 실패로 인해 발생하며, 공격자가 난독화된 페이로드를 통해 서버에서 임의의 명령을 주입하고 실행할 수 있게 합니다. ⚠️ 면책 조항 Disclaimer 이 스크립트는 교육 ...

CVE-2025-65271

CVE-2025-65271 CVE-2025-65271에 대한 PoC 실행 방법? node server.js 설명 Azuriom CMS 관리자 대시보드의 클라이언트 측 템플릿 주입CSTI을 통해 낮은 권한의 사용자가 관리자 세션 컨텍스트에서 임의의 템플릿 코드를 실행할 수 있습니다. 이는 플러그인이나 대시보드 구성 요소가 신뢰할 수 없는 사용자 입력을 렌더링할 때 발생할 수 있으며, 잠재적으로 관리자 계정으로의 권한 상승이 가능합니다. Azuriom 1.2.7에서 수정되었습니다. 사용 전 면책 조항 저는 이 PoC를 사용하여 타...

cve-2026-23550-poc

CVE-2026-23550 PoC CVE-2026-23550용 소형 Bash 테스터입니다. 영향을 받는 WordPress 모듈식 커넥터 로그인 엔드포인트에 요청을 보내고 wordpressloggedin 쿠키가 발급되는지 확인하며 관리자 대시보드 접근을 확인하려고 시도합니다. 경고: 이 도구는 소유한 시스템이나 명시적 테스트 권한이 있는 시스템에만 사용하십시오. 승인되지 않은 보안 테스트는 불법이거나 시스템을 방해할 수 있습니다. 요구 사항 Bash 4+ curl grep mktemp 사용법 스크립트를 실행 가능하게 만듭니다:...

CVE-2026-93659-writeup

CVE-2026-93659: Concrete CMS Community Store의 저장형 XSS로 인한 관리자 대시보드 탈취 요약 | ---|--- CVE| CVE-2026-93659 구성 요소| concretecms-community-store/communitystore 유형| 저장형 크로스 사이트 스크립팅 CWE-79 심각도| CVSS v4.0 9.3 치명적 / v3.1 8.7 높음 영향 받는 버전| 2.7.8 이전 모든 버전 수정된 버전| 2.7.8 공로| Prince Edem Fiagbedzi 발견자 Concrete...

CVE-2026-100608

Flowise through 3.1.4 does not enforce authorization on the BullMQ admin dashboard. When the server runs in queue mode with the dashboard enabled and not in cloud mode MODE=queue, ENABLEBULLMQDASHBOARD=true, and !isCloud, the /admin/queues mount is protected only by the...

CVE-2026-100608

Flowise versions through 3.1.4 contain an authorization bypass in the BullMQ admin dashboard . When running in queue mode with the dashboard enabled (and not in cloud mode), the /admin/queues mount fails to perform role, permission, or workspace scoping checks because it only validates the JWT vi...

EUVD-2026-87703

Flowise through 3.1.4 does not enforce authorization on the BullMQ admin dashboard. When the server runs in queue mode with the dashboard enabled and not in cloud mode MODE=queue, ENABLEBULLMQDASHBOARD=true, and !isCloud, the /admin/queues mount is protected only by the...

CVE-2025-13533

The CSS & JavaScript Toolbox WordPress plugin (all versions up to and including 12.0.6 ) is vulnerable to Stored Cross-Site Scripting via the Assignment Engine fields. The root cause is insufficient input sanitization and output escaping on assignment data fields including Expressions , URLs , an...

Vendure has stored XSS in the Admin Dashboard via unsafe HTML-stripping (innerHTML) of entity descriptions

Stored XSS in the Admin Dashboard via unsafe HTML-stripping innerHTML of entity descriptions Package: @vendure/dashboard vendure-ecommerce/vendure, latest master · Summary The dashboard's RichTextDescriptionCell "strips HTML" from an entity's description by assigning it to a live element's...

CVE-2026-63459 Vendure: Stored XSS in the Admin Dashboard via unsafe HTML-stripping (innerHTML) of entity descriptions

Vendure is an open-source headless commerce platform. Prior to 3.6.5, RichTextDescriptionCell in packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx attempts to strip markup by assigning an administrator-controlled description to a live element's innerHTML and...

PT-2026-94343

Name of the Vulnerable Software and Affected Versions Vendure versions prior to 3.6.5 Description Stored cross-site scripting XSS exists in the admin dashboard due to unsafe HTML stripping in the RichTextDescriptionCell component within...

CVE-2026-85589

phpMyFAQ before 4.2.0-alpha.2 contains a missing authorization vulnerability in the admin dashboard API endpoints searches and content-health that enforce only authentication without permission checks. Any authenticated user can access these endpoints to read site-wide search statistics and...

EUVD-2026-71012

phpMyFAQ before 4.2.0-alpha.2 contains a missing authorization vulnerability in the admin dashboard API endpoints searches and content-health that enforce only authentication without permission checks. Any authenticated user can access these endpoints to read site-wide search statistics and...

CVE-2026-85589: Missing Authorization

phpMyFAQ before 4.2.0-alpha.2 contains a missing authorization vulnerability in the admin dashboard API endpoints searches and content-health that enforce only authentication without permission checks. Any authenticated user can access these endpoints to read site-wide search statistics and...