Title: Exponent CMS de Exponentcms, Description: Exponent CMS 2.6 contiene una vulnerabilidad de cross-site scripting almacenado que permite a atacantes autenticados inyectar scripts maliciosos a través de los parámetros Title y Text Block en el endpoint de edición de texto. Los atacantes pueden inyectar cargas útiles de iframe con eventos SVG onload incrustados para ejecutar JavaScript arbitrario, y la aplicación también expone credenciales de base de datos en las respuestas y carece de protección contra fuerza bruta en los endpoints de autenticación.

Title: Exponent CMS de Exponentcms, Description: Exponent CMS 2.6 contiene una vulnerabilidad de cross-site scripting almacenado que permite a atacantes autenticados inyectar scripts maliciosos a través de los parámetros Title y Text Block en el endpoint de edición de texto. Los atacantes pueden inyectar cargas útiles de iframe con eventos SVG onload incrustados para ejecutar JavaScript arbitrario, y la aplicación también expone credenciales de base de datos en las respuestas y carece de protección contra fuerza bruta en los endpoints de autenticación.

Title: Exponent CMS de Exponentcms, Description: Exponent CMS 2.6 contiene una vulnerabilidad de cross-site scripting almacenado que permite a atacantes autenticados inyectar scripts maliciosos a través de los parámetros Title y Text Block en el endpoint de edición de texto. Los atacantes pueden inyectar cargas útiles de iframe con eventos SVG onload incrustados para ejecutar JavaScript arbitrario, y la aplicación también expone credenciales de base de datos en las respuestas y carece de protección contra fuerza bruta en los endpoints de autenticación.

{"timestamp":"2026-05-11T11:32:08.472634Z","id":"CVE-2021-47931","options":[{"exploitation":"poc"},{"automatable":"no"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"Exponentcms","product":"Exponent CMS","versions":[{"version":"0","lessThanOrEqual":"2.6","versionType":"custom","status":"affected"}]}]

Exponent CMS 2.6 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts through the Title and Text Block parameters in the text editing endpoint. Attackers can inject iframe payloads with embedded SVG onload events to execute arbitrary JavaScript, and the application also exposes database credentials in responses and lacks brute-force protection on authentication endpoints.

Exponent CMS 2.6 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts through the Title and Text Block parameters in the text editing endpoint. Attackers can inject iframe payloads with embedded SVG onload events to execute arbitrary JavaScript. The application also exposes database credentials in responses and lacks brute-force protection on authentication endpoints.

Exponent CMS 2.6 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts through the Title and Text Block parameters in the text editing endpoint. Attackers can inject iframe payloads with embedded SVG onload events to execute arbitrary JavaScript, and the application also exposes database credentials in responses and lacks brute-force protection on authentication endpoints.

AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

CWE-79

https://www.exploit-db.com/exploits/50611

https://www.exponentcms.org/

https://www.vulncheck.com/advisories/exponent-cms-multiple-vulnerabilities-stored-xss-authentication