CVE-2026-55872

Nome do Software Vulnerável e Versões Afetadas GYM One versões anteriores a 1.4.1

Descrição O software não aplica a codificação de saída HTML ao renderizar campos de perfil na lista de usuários administradores. Um invasor pode armazenar scripts maliciosos nos campos firstname, lastname e email, que são executados no navegador de um administrador ao visitar o endpoint '/admin/users/index.php'. Este script persistente permite que o invasor acesse dados de sessão do administrador ou execute ações com privilégios de administrador.

Recomendações Atualizar para a versão 1.4.1.