PT-2026-39521 · Unknown · Projectsend

Abdullah Kala · Publicado 2026-05-10 · Atualizado 2026-05-10 · CVE-2021-47947

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Projectsend versão r1295

Descrição Um invasor autenticado pode injetar scripts maliciosos ao enviar entradas manipuladas através do parâmetro name no endpoint 'files-edit.php'. Esses payloads de JavaScript são executados no navegador de outros usuários, afetando especificamente usuários Administradores do Sistema na página do Painel, quando o arquivo é visualizado. Trata-se de um problema de cross-site scripting armazenado, onde um script é permanentemente armazenado no servidor e servido a outros usuários.

Recomendações Como medida paliativa temporária, restrinja o acesso ao endpoint 'files-edit.php' ou evite usar o parâmetro name até que uma correção seja aplicada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-47947

Produtos afetados

Projectsend

Referências · 6

• 🔥 https://exploit-db.com/exploits/50240 · Exploit
• https://projectsend.org · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-47947 · Nota de Segurança
• https://vulncheck.com/advisories/projectsend-r1295-stored-cross-site-scripting-via-files-edit-php · Nota
• https://twitter.com/CVEnew/status/2053537419086254482 · Publicação no Twitter
• https://projectsend.org/download/387 · Nota