PT-2026-39501 · Cmdbuild · Cmdbuild

Hosein Vita · Publicado 2026-05-10 · Atualizado 2026-05-10 · CVE-2021-47925

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas CMDBuild versão 3.3.2

Descrição Atacantes autenticados podem injetar HTML ou scripts web arbitrários por meio de entradas manipuladas. Isso ocorre através dos endpoints de criação de cartões e upload de arquivos, especificamente por meio de parâmetros de cartões de Funcionário ou anexos de arquivos SVG no endpoint de classes. Os scripts injetados são executados quando outros usuários visualizam os registros afetados ou visualizam os anexos. Cross-site scripting (XSS) armazenado é uma falha onde um script malicioso é armazenado permanentemente no servidor alvo.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-47925

Produtos afetados

Cmdbuild

Referências · 6

• 🔥 https://exploit-db.com/exploits/50527 · Exploit
• https://cmdbuild.org/en/download/latest-version · Nota
• https://twitter.com/CVEnew/status/2053537439801852277 · Publicação no Twitter
• https://vulncheck.com/advisories/cmdbuild-multiple-stored-cross-site-scripting · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-47925 · Nota de Segurança
• https://cmdbuild.org · Nota