CVE-2026-61804
Beschrijving NL
myTinyWMS is een gratis, open-source magazijnbeheersysteem. Voorafgaand aan versie 1.6.4 slaan `Product (Artikel)` en `Categorie` -beheer de `naam` -parameter op zonder adequate backend-ontsmetting en geven ze ruwe databasestrings weer door middel van onontspoorde blade-uitvoer in dynamische tabelcellen, waaronder `article/index.blade.php` en `category/index.blade.php`. Een geverifieerde aanvaller kan kwaadaardige input opslaan via productcreatie of categorieformulieren. Wanneer een andere gebruiker, inclusief een medewerker of beheerder, het bijbehorende productblad, de bijbehorende categorievermelding of het bijbehorende dashboard opent, wordt het opgeslagen JavaScript uitgevoerd in de browsercontext van die gebruiker. Dit kan cross-user scriptuitvoering, sessiediefstal en administratieve overname mogelijk maken. Dit probleem is opgelost in versie 1.6.4.
Origineel (Engels) tonen
myTinyWMS is a free, open-source warehouse management system. Prior to version 1.6.4, `Product (Artikel)` and `Category` management store the `name` parameter without adequate backend sanitization and render raw database strings through unescaped Blade output in dynamic table cells, including `article/index.blade.php` and `category/index.blade.php`. An authenticated attacker can save malicious input through product creation or category forms. When another user, including a worker or administrator, opens the corresponding product sheet, category listing or dashboard, the stored JavaScript executes in that user's browser context. This can enable cross-user script execution, session theft and administrative takeover. This issue is fixed in version 1.6.4.