CVE-2026-37503

4.8 Moyenne

Publiée le 01/05/2026 à 18:16 · Modifiée le 17/06/2026 à 12:41 · Analysée par le NVD · Source : cve@mitre.org

Description

Cross-Site Scripting (XSS) in V2Board thru 1.7.4. The custom_html field in theme configuration is rendered using Blade unescaped output in public/theme/v2board/dashboard.blade.php. An admin can inject arbitrary JavaScript via the saveThemeConfig API. All site visitors execute the payload, enabling cookie theft, session hijacking, or phishing.

Traduire en français

Produits concernés

V2board v2board

Scores CVSS

Version	Score	Source	Vecteur
3.1	6.9 Moyenne	cve@mitre.org	`CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:N`
3.1	4.8 Moyenne	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N`

Faiblesses (CWE)

CWE-79

Références

https://gist.github.com/sgInnora/1330e1a82caa79906eec55eeff2c99b9 ExploitThird Party Advisory
https://github.com/v2board/v2board Product

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories