CVE-2026-1661 WP Mail Logging < 1.17.0 - Unauthenticated HTML Injection

The WP Mail Logging WordPress plugin before 1.17.0 does not properly restrict the HTML and CSS of logged emails before rendering them in its admin log screens, allowing unauthenticated users to inject styled content and links, for example through a public contact form, that can deceive an...

CVE-2025-52204

CVE-2025-52204 — Отражённый XSS / HTML-инъекция в конечной точке customer.pl в Znuny Краткое описание В Znuny существует уязвимость отражённого межсайтового скриптинга XSS и HTML-инъекции, позволяющая атакующим внедрять произвольный JavaScript или HTML через параметр, определяемый системной...

CVE-2009-3036

CVE-2009-3036 SpeeDr00t@Black Falcon bid38241 Уязвимость внедрения HTML в консоль Symantec IM Manager информация обсуждение эксплойт решение ссылки Bugtraq ID: | 38241 ---|--- Класс: | Ошибка проверки входных данных CVE: | CVE-2009-3036 Удалённая: | Да Локальная: | Нет Опубликовано: | Feb 18 2010...

CVE-2026-56662

GetSimple CMS CE versions prior to 1.5 are vulnerable to a Cross-Site Request Forgery (CSRF) attack due to a lack of anti-CSRF tokens and missing request-origin verification in the UpdateCE update form. A remote attacker can trick an authenticated administrator into visiting a malicious page that...

CVE-2026-48060

CVE-2026-48060 - Litestar CSRF 토큰을 통한 HTML 삽입 이 저장소는 Litestar 버전 2.21.0에 존재하는 HTML 삽입 취약점을 시연하기 위한 개념 증명 익스플로잇과 취약한 애플리케이션을 포함하고 있습니다. 실행 방법 git clone https://github.com/Blinky-Keys/CVE-2026-48060 cd CVE-2026-48060 sudo docker build -t litestarexample . sudo docker run --rm -it -p 8000:80 -p...

cve-2026-64638-banner-poc

CVE-2026-64638 — 범용 배너 PoC WordPress CVE-2026-64638 의 wp-login.phpstriptags vs. KSES 파서 차이에 대한 반사형 HTML 삽입을 위한 단일 파일, 무의존성 PoC 생성기입니다. 자동 제출 트리거 페이지를 생성합니다. 피해자가 파일을 열면 페이지가 조용히 삽입 페이로드를 POST하고, 피해자는 배너가 렌더링된 대상 로그인 페이지로 직접 이동합니다. 상호작용도, 대상 측 JavaScript도 필요 없습니다. 공인된 보안 테스트 전용입니다. 소유한 시스템 또는 명시적으...

CVE-2026-31281

CVE-2026-31281 설명 Totara LMS는 HTLM 인젝션에 취약합니다. 공격자는 메시지에 악성 HTLM 코드를 주입하여 애플리케이션의 모든 사용자에게 전송할 수 있으며, 이로 인해 코드가 실행되어 세션 하이재킹 및 피해자 브라우저에서 명령 실행으로 이어질 수 있습니다. CVSS 3 점수: 7.3 높음 공격 유형 원격 인증됨 영향을 받는 버전 19.1.5 이하 버전 제품 공급업체 Totara 영향을 받는 제품 코드 베이스 Totara LMS 영향을 받는 구성 요소 메시지 상자. 완화 조치 메시지 상자에서 사용자...

CVE-2026-36341

Webkul Krayin CRM에 존재하는 사이트 간 스크립팅XSS 취약점 HTML 주입 CVE: CVE-2026-36341 요약 이 취약점은 관리자 패널에 영향을 미치기 때문에 특히 치명적입니다. 많은 CRM 워크플로에서 관리자나 상위 권한의 관리자는 직원이 기록한 활동을 검토합니다. 간단한 "통화Call" 또는 "회의Meeting" 로그에 페이로드를 주입함으로써, 공격자는 피해자와의 직접적인 상호작용 없이 높은 권한의 계정을 표적으로 삼을 수 있습니다. PoC 1. HTML 주입이 포함된 간단한 설명을 생성합니다 2. 최종...

CVE-2025-60378

CVE-2025-60378: RISE Ultimate Project Manager & CRM의 저장형 HTML 인젝션 ⚠️ 보안 권고 인보이스, 메시징 및 자동화 커뮤니케이션에 영향을 미치는 치명적인 저장형 HTML 인젝션 취약점 -ff6600 📋 개요 RISE Ultimate Project Manager & CRM에서 인증된 사용자가 인보이스 품목, 고객 메모 및 메시징 모듈에 악성 HTML을 주입할 수 있는 치명적인 저장형 HTML 인젝션 취약점이 발견되었습니다. 주입된 콘텐츠는 데이터베이스에 영구 저장되며 고객 대상 이메일...

CVE-2025-55903

CVE-2025-55903: Хранимая HTML-инъекция в PerfexCRM ⚠️ Бюллетень безопасности Критическая уязвимость хранимой HTML-инъекции, затрагивающая счета, выставление счетов и автоматические уведомления -ff6600 📋 Обзор В PerfexCRM обнаружена уязвимость хранимой HTML-инъекции, которая позволяет...

CVE-2026-33657

CVE-2026-33657 - Хранимая HTML-инъекция в email-уведомлениях EspoCRM 9.3.3 Аутентифицированный proof-of-concept для хранимой HTML-инъекции в email-уведомлениях EspoCRM 9.3.3. Краткое описание EspoCRM 9.3.3 формирует email-уведомления о записях в ленте, преобразуя тело заметки с помощью Markdown и...

CVE-2023-48104

CVE-2023-48104 HTML-инъекция в веб-клиенте Alinto/SOGo Производитель продукта Alinto Тип уязвимости HTML-инъекция Затронутые версии SOGo Web Mail https://github.com/Alinto/sogo/commit/7481ccf37087c3f456d7e5a844da01d0f8883098 Обнаружил Spiridonov Ivan/E1tex PoC Только для демонстрационных целей...

CVE-2021-45416

CVE-2021-45416 Уязвимость межсайтового скриптинга XSS с отражением в RosarioSIS 8.2.1 позволяет злоумышленникам внедрять произвольный HTML через параметр searchterm в скрипте modules/Scheduling/Courses.php. Производитель: francoisjacquet Сайт производителя: https://www.rosariosis.org/ Затронутый...

CVE-2025-63419

CVE-2025-63419 CrushFTP до версии 11.3.760 подвержен HTML-инъекции. Веб-сервер имеет функцию, позволяющую пользователям обмениваться файлами; функция отражает имя файла в поле emailbody без санитизации, что приводит к HTML-инъекции. CWE CWE-79 — Некорректная нейтрализация входных данных при...

CVE-2025-63420

CVE-2025-63420 CrushFTP11 до версии 11.3.757 уязвим для инъекции сохраненного HTML в панели администратора CrushFTP Reports / "Who Created Folder", что позволяет выполнять постоянный HTML-код в сессиях администратора. CWE CWE-79 — Неправильная нейтрализация ввода при генерации веб-страницы...

CVE-2022-30781

🍵 CVE-2022-30781 Эксплойт удалённого выполнения команд при миграции репозитория Gitea. Как использовать 1. Запустите HTTP-сервер для раздачи файлов из этого репозитория. 2. Отредактируйте команду, которая будет выполнена, в api/v1/repos/e99/exp/pulls/1/index.html L96. 3. Мигрируйте удалённый...

CVE-2026-103266

Ghost versions 5.2.0 through versions prior to 6.62.0 allow a remote attacker, without authentication, to abuse the Stripe Checkout flow to attach a paid subscription to an existing member, modify that member's name, and inject content into newsletters sent to the member. Depending on the...

CVE-2026-103266 Ghost 5.2.0 before 6.62.0 Unauthenticated Stripe Checkout Account Modification

Ghost versions 5.2.0 through versions prior to 6.62.0 allow a remote attacker, without authentication, to abuse the Stripe Checkout flow to attach a paid subscription to an existing member, modify that member's name, and inject content into newsletters sent to the member. Depending on the...

CVE-2026-103266

Ghost versions 5.2.0 through 6.62.0 are vulnerable to an unauthenticated flaw in the Stripe Checkout flow . An attacker can abuse this flow to attach a paid subscription to an existing member, modify that member's name, and inject malicious content into newsletters sent to them. Depending on the ...

EUVD-2026-90660

Ghost versions 5.2.0 through versions prior to 6.62.0 allow a remote attacker, without authentication, to abuse the Stripe Checkout flow to attach a paid subscription to an existing member, modify that member's name, and inject content into newsletters sent to the member. Depending on the...