CVE-2026-78071

DPCalendar Free のロケーションタイトルを介した格納型XSS DPCalendar Free ≤ 10.11.2 — Authorロールのユーザーがコンテンツレビューを迂回し、ロケーションタイトルを介して永続的XSSを注入。任意の訪問者がホバーした際に発動 -orange 概要 $location-title フィールドは、defaultlocations.php 内で htmlspecialchars を使用せずにレンダリングされます。Joomla のサーバーサイド InputFilter::clean は文字列フィールドから と を除去しますが、...