PT-2026-79020

CVE-2026-64972

Publicado

2026-08-20

Atualizado

2026-08-20

Descrição por

CVSS 4.0

4.8

Média

MétricasAV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas ATutor versão 2.2.4

Description Um invasor autenticado pode realizar um ataque de Cross-Site Scripting (XSS) Refletido através do parâmetro popup no endpoint 'preview.php'. Ao injetar aspas duplas no parâmetro popup, o invasor pode sair do valor do atributo e anexar um novo manipulador de evento, como onload. Embora o arquivo 'preview top.php' sanitize esses parâmetros, isso não impede o XSS no frameset pai renderizado pelo próprio 'preview.php'.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Marcin Wyczechowski

Michał Majchrowicz

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados