CVE-2026-34241

Nome do Software Vulnerável e Versões Afetadas CtrlPanel versões anteriores a 1.2.0

Descrição Um problema de Cross-Site Scripting (XSS) Armazenado existe no sistema de notificação de resposta de tickets. O conteúdo não sanitizado da variável $newmessage é armazenado em payloads de notificação do banco de dados e renderizado sem escape no navegador do destinatário. Isso ocorre nas funções AppNotificationsTicketAdminAdminReplyNotification (afetando administradores quando um usuário responde) e AppNotificationsTicketUserReplyNotification (afetando usuários quando um administrador responde). Isso permite a execução de JavaScript arbitrário, o que pode levar ao sequestro de sessão, coleta de credenciais por meio de prompts de login falsos ou keyloggers e escalonamento de privilégios.

Recomendações Atualizar para a versão 1.2.0.