CVE-2026-61804

Nome do Software Vulnerável e Versões Afetadas myTinyWMS versões anteriores a 1.6.4

Descrição Ocorre cross-site scripting armazenado porque o parâmetro name no gerenciamento de Product (Artikel) e Category é armazenado sem a sanitização adequada no backend. A aplicação renderiza strings brutas do banco de dados através de saída Blade não escapada em células de tabela dinâmicas, especificamente em article/index.blade.php e category/index.blade.php. Um invasor autenticado pode injetar JavaScript malicioso por meio de formulários de criação de produtos ou categorias. Quando outros usuários, como trabalhadores ou administradores, visualizam a ficha do produto, a listagem de categorias ou o painel, o script é executado no contexto do navegador deles, podendo levar ao roubo de sessão e à tomada de controle administrativo.

Recomendações Atualizar para a versão 1.6.4.