CVE-2026-7884

IBM Cognos Analytics (versions 12.1.0 through 12.1.3 FP1, and 12.0.4 through 12.0.4 FP2) is vulnerable to a stored cross-site scripting (CWE-79) in the user account management panel. A non-privileged user can inject malicious JavaScript into their given name and surname fields; when an administra...

EUVD-2026-78138

IBM Cognos Analytics 12.1.0 through 12.1.3 FP1, and 12.0.4 through 12.0.4 FP2 allows a non-privileged user to edit their given name and surname to include malicious JavaScript code. When an administrator later accesses the user account management panel and views that user's permissions, the...

CVE-2023-31703

CVE-2023-31703 — eScan Management Console 中的反射型 XSS 漏洞 概述 CVE ID： CVE-2023-31703 漏洞类型： 反射型跨站脚本（XSS） 受影响产品： Microworld Technologies eScan Management Console 受影响版本： 14.0.1400.2281 严重性： 中等 发现者： Sahil Ojha 披露日期： 2023 年 5 月 16 日 描述 Microworld Technologies eScan Management Console（版本 14.0.1400.2281）的...

metabase-cve-2023-38646

CVE-2023-38646 — Ejecución remota de código pre-autenticación en Metabase Resumen CVSS 9.8. Las versiones de Metabase anteriores a 0.46.6.1 / 1.46.6.1 y ramas anteriores equivalentes exponen una RCE pre-autenticación a través del endpoint /api/setup/validate, que está pensado para validar los...

CVE-2024-41503

CVE-2024-41503 CVE: CVE-2024-41503 软件： Jetimob Plataforma Imobiliaria CRM/ERP/CMS 版本： 20240627-0 漏洞类型： 存储型跨站脚本（XSS） 描述： 整个应用程序中使用的“Busca”（搜索）功能包含一个可保存的筛选器选项——保存时有一个“Título”表单字段，允许注入 JavaScript 代码，并将代码存储到应用程序中。当筛选器被创建，或点击删除该筛选器时（出现包含有效负载的删除确认窗口），该代码便会执行。 有效负载：...

CVE-2024-39090-PoC

CVE-2024-39090 PoC Exploit Script このPoCスクリプトは、PHPGurukul Online Shopping Portal v2.0におけるCSRFからStored XSSへの脆弱性であるCVE-2024-39090を悪用します。CSRF攻撃を自動化して永続的なJavaScriptペイロードを注入し、特権ユーザーが影響を受けるページにアクセスすると実行され、セッションハイジャックや資格情報の窃取などのアクションが可能になります。...

CVE-2026-91021

Trilium Notes versions v0.103.0 and earlier contain a stored XSS vulnerability in the share renderer for webView notes, caused by improper HTML escaping of user-controlled #webViewSrc values. An attacker with note-authoring privileges can inject arbitrary JavaScript that executes in the browser o...

CVE-2026-34621

CVE-2026-34621 : Adobe Acrobat 2026 Prototype Pollution & JS Injection Chain — Research PoC Overview This repository contains research material and proof-of-concept code developed during the analysis of the 2026 Adobe Acrobat Reader in-the-wild exploit chain involving: Prototype Pollution Interna...

CVE-2021-30146

CVE-2021-30146 Seafile 7.0.5 存储型XSS Suggested description: 应用程序（服务器版本：7.0.5 Seafile）存在通过共享库功能导致的存储型XSS漏洞。 Additional Information: Seafile 是一个开源、自托管的文件同步与共享解决方案，具有高性能和高可靠性。 已向供应商发送了关于该漏洞的信函。 Discovered: Alexander Semenenko Proof of Concept:...

CVE-2026-4103

Insufficient HTML sanitization in the Publisher Portal and Developer Portal allows untrusted user input to be rendered without proper encoding or neutralization. This enables the injection and execution of malicious JavaScript when affected API documents are viewed. Successful exploitation may...

CVE-2022-36433

CVE-2022-36433 Amasty Blog Pro for Magento 2 中博客文章创建功能的跨站脚本（XSS） 描述 Amasty Blog Pro 2.10.3 插件（适用于 Magento 2）的博客文章创建功能允许在 shortcontent 和 fullcontent 字段中注入 JavaScript 代码，导致管理面板用户通过 posts/preview 或 posts/save 受到 XSS 攻击。 以下是上述参数的易受攻击端点（注入点）： POST /admin/amastyblog/posts/preview/key/somekey/?isAjax=tr...

CVE-2025-50866

CloudClassroom-PHP-Project 1.0 在 postquerypublic 端点的 email 参数中存在反射型跨站脚本（XSS）漏洞。不充分的清理机制允许攻击者注入任意 JavaScript 代码，该代码在用户浏览器上下文中执行，可能导致会话劫持或钓鱼攻击。 漏洞类型 : 跨站脚本（XSS） 产品供应商 : https://github.com/mathurvishal/CloudClassroom-PHP-Project 受影响产品代码库 : https://github.com/mathurvishal/CloudClassroom-PHP-Project 1...

CVE-2024-48326

CVE-2024-48326 描述： Portabilis i-Educar v2.8.0 容易受到跨站脚本（XSS）攻击，问题出在 POST 请求中的 /intranet/educarreligiaocad.php 文件的 nmreligiao 参数，并在 GET 请求 /intranet/educarreligiaolst.php?busca=S&nmreligiao= 中触发。这使得未经认证的远程攻击者能够注入恶意 JavaScript，当数据被查看时执行，可能导致未经授权的操作或数据泄露。 版本： 在 Portabilis i-Educar 2.8.0 中发现。 概念验证 漏洞详...

CVE-2023-43358-CMSmadesimple-Stored-XSS---News

CMSmadesimple Stored XSS v2.2.18 作者: Sergio 描述: CMSmadesimple v.2.2.18 中的跨站脚本（XSS）漏洞允许本地攻击者通过在 Content - News Menu 的标题中注入特制脚本来执行任意代码。 攻击向量: 脚本注入：由于“Content - News Menu”的标题条目清理存在漏洞，允许注入 JavaScript 代码，当用户访问网页时将会执行。 POC: 登录后台后，我们将进入 General Menu 中的“Content- News”部分。 我们用已经创建的载荷编辑该 Content - News...

Apache-Druid-CVE-2021-25646-Exploit

Apache Druid RCE 漏洞利用 CVE-2021-25646 通过 JavaScript 代码注入实现 Apache Druid 远程代码执行的 Python 利用脚本 CVE-2021-25646。 描述 该脚本利用 Apache Druid（版本 0.20.1）中的一个 RCE 漏洞，该漏洞允许通过特制的采样器请求执行任意代码。 用法 root@kitploit: python3 druidrce.py -u http://target:8888 -c "commandtoexecute" 参数 -u/--url - 目标 URL（例如...

uxss-poc

Universal Cross Site Scripting PoC（通用跨站脚本攻击概念验证） 这是一个针对 CVE-2015-0072 的概念验证，用于顺序获取目标网站的 Cookie。 免责声明 本概念验证仅供教育用途。未经事先许可，请勿将其用于任何系统。您对使用本代码所做的一切自行负责。 改进 为了使漏洞利用生效，第一个框架位置内的 JavaScript 注入必须在第二个框架重定向之后执行。最初的解决方案（在其他 PoC 中提出）使用了休眠和超时。然而，如果服务器同步了重定向和休眠请求，则无需休眠即可利用该漏洞。 实际上，这里仍有一个小的 setTimeout，但 500...

CVE-2019-10685

CVE-2019-10685 用户通过 "TextField" 参数提供的包含 JavaScript 的输入，会在 HTML 响应的 JavaScript 代码中被回显。 Exploit-DB 发布信息：https://www.exploit-db.com/exploits/46804 PacketStorm 发布信息：https://packetstormsecurity.com/files/152727/Prinect-Archive-System-2015-Release-2.6-Cross-Site-Scripting.html...

CVE-2023-44761_ConcreteCMS-Stored-XSS---Forms

ConcreteCMS 存储型 XSS v.9.2.1 作者：（Sergio） 描述： ConcreteCMS v.9.2.1 中存在多个跨站脚本（XSS）漏洞，本地攻击者可通过向数据对象的表单中注入特制脚本来执行任意代码。 攻击向量： 脚本注入——对“Data Objects”表单中输入内容的清理存在漏洞，允许注入 JavaScript 代码，当用户访问网页时将执行该代码。 POC： 登录面板后，我们将从仪表盘菜单进入“System & Settings - Express - Data Objects”部分，并选择一个数据对象。 在所选的数据对象中，我们进入 Forms 选项：...

CVE-2023-43342-Quick-CMS-Stored-XSS---Languages-Frontend

Quick CMS 存储型 XSS v6.7 作者：（Sergio） 描述： Quick CMS v6.7 中存在一个跨站脚本（XSS）漏洞，允许本地攻击者通过向“语言菜单”（Languages Menu）中的“前端和后端 - 页面”（Front and back end - Pages）注入特制脚本来执行任意代码。 攻击向量： 脚本注入——“语言 - 前端和后端”（Languages - Front and back end）中“页面”（Pages）条目的净化机制存在漏洞，允许注入 JavaScript 代码，当用户访问该网页时将执行此代码。 POC：...

CVE-2026-6875-PoC-Exploit

CVE-2026-6875 - ServiceNow 预认证 RCE 漏洞利用框架与 PoC 验证器 🔥 ServiceNow AI 平台 — JavaScript 注入 → 沙箱逃逸 → RCE → Root 提权 漏洞利用框架与安全验证器 仅供授权安全测试使用。 ⚖️ 法律免责声明与负责任使用 本工具仅供教育和授权渗透测试目的使用。 作者和贡献者不对因使用本软件而造成的任何滥用或损害负责。用户须自行确保在测试前已获得目标所有者的明确书面许可。根据《计算机欺诈与滥用法》（CFAA）及全球类似法律，未经授权访问计算机系统属于违法行为。 使用本软件即表示您同意：...