Read the docs
TI-2011-01709 Aliases CVE-2011-1937GHSA-jvc2-2g2x-7xm5

Cross-site scripting (XSS) vulnerability in Webmin 1.540 and earlier allows local users…

Priority LOW 24CWE-79Published · Updated

Key facts

Attack vector
Network
Privileges required
None
User interaction
— Not recorded in CVSS 2.0
Attack complexity
Medium
Impact type
Cross-site scripting
Confidentiality · integrity · availability
None · Partial · None
Fix status
No fix listed

Attack profile from CVSS 2.0 · NVD. Fix status from CNA. Impact type from CWE-79.

Summary

Cross-site scripting (XSS) vulnerability in Webmin 1.540 and earlier allows local users to inject arbitrary web script or HTML via a chfn command that changes the real (aka Full Name) field, related to useradmin/index.cgi and useradmin/user-lib.pl.

Why it matters now

EPSS 0.01919 80th percentileScored 2026-11-07
Public exploit Yes 3 exploit referencesTagged by NVD
Fix No fix listed No fixed version in the sources yet

SSVC decision points

Not available: CISA has not published SSVC decision points for this record.

Affected products

VendorProductAffected versionsFixed inStatusSource
——all versions—No fix listedCNA
  • — Vendor— Affected all versions Fixed in — No fix listed CNA

CPE configurations NVD · 79

CPEVersionsRoleVendor
cpe:2.3:a:webmin:webmin:*:*:*:*:*:*:*:*up to 1.540VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.75:*:*:*:*:*:*:*0.75VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.76:*:*:*:*:*:*:*0.76VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.77:*:*:*:*:*:*:*0.77VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.78:*:*:*:*:*:*:*0.78VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.79:*:*:*:*:*:*:*0.79VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.80:*:*:*:*:*:*:*0.80VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.81:*:*:*:*:*:*:*0.81VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.82:*:*:*:*:*:*:*0.82VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.83:*:*:*:*:*:*:*0.83VulnerableWebmin
  • cpe:2.3:a:webmin:webmin:*:*:*:*:*:*:*:* Versions up to 1.540 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.75:*:*:*:*:*:*:* Versions 0.75 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.76:*:*:*:*:*:*:* Versions 0.76 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.77:*:*:*:*:*:*:* Versions 0.77 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.78:*:*:*:*:*:*:* Versions 0.78 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.79:*:*:*:*:*:*:* Versions 0.79 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.80:*:*:*:*:*:*:* Versions 0.80 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.81:*:*:*:*:*:*:* Versions 0.81 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.82:*:*:*:*:*:*:* Versions 0.82 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.83:*:*:*:*:*:*:* Versions 0.83 Vulnerable ·Webmin
Show 69 more CPE
CPEVersionsRoleVendor
cpe:2.3:a:webmin:webmin:0.84:*:*:*:*:*:*:*0.84VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.85:*:*:*:*:*:*:*0.85VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.86:*:*:*:*:*:*:*0.86VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.87:*:*:*:*:*:*:*0.87VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.88:*:*:*:*:*:*:*0.88VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.91:*:*:*:*:*:*:*0.91VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.92:*:*:*:*:*:*:*0.92VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.93:*:*:*:*:*:*:*0.93VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.94:*:*:*:*:*:*:*0.94VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.950:*:*:*:*:*:*:*0.950VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.960:*:*:*:*:*:*:*0.960VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.970:*:*:*:*:*:*:*0.970VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.980:*:*:*:*:*:*:*0.980VulnerableWebmin
cpe:2.3:a:webmin:webmin:0.990:*:*:*:*:*:*:*0.990VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.000:*:*:*:*:*:*:*1.000VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.010:*:*:*:*:*:*:*1.010VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.020:*:*:*:*:*:*:*1.020VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.030:*:*:*:*:*:*:*1.030VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.040:*:*:*:*:*:*:*1.040VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.050:*:*:*:*:*:*:*1.050VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.060:*:*:*:*:*:*:*1.060VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.070:*:*:*:*:*:*:*1.070VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.080:*:*:*:*:*:*:*1.080VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.090:*:*:*:*:*:*:*1.090VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.100:*:*:*:*:*:*:*1.100VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.110:*:*:*:*:*:*:*1.110VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.121:*:*:*:*:*:*:*1.121VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.130:*:*:*:*:*:*:*1.130VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.140:*:*:*:*:*:*:*1.140VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.150:*:*:*:*:*:*:*1.150VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.160:*:*:*:*:*:*:*1.160VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.170:*:*:*:*:*:*:*1.170VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.180:*:*:*:*:*:*:*1.180VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.190:*:*:*:*:*:*:*1.190VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.200:*:*:*:*:*:*:*1.200VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.210:*:*:*:*:*:*:*1.210VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.220:*:*:*:*:*:*:*1.220VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.230:*:*:*:*:*:*:*1.230VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.240:*:*:*:*:*:*:*1.240VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.250:*:*:*:*:*:*:*1.250VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.260:*:*:*:*:*:*:*1.260VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.270:*:*:*:*:*:*:*1.270VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.280:*:*:*:*:*:*:*1.280VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.290:*:*:*:*:*:*:*1.290VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.300:*:*:*:*:*:*:*1.300VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.310:*:*:*:*:*:*:*1.310VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.320:*:*:*:*:*:*:*1.320VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.330:*:*:*:*:*:*:*1.330VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.340:*:*:*:*:*:*:*1.340VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.350:*:*:*:*:*:*:*1.350VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.360:*:*:*:*:*:*:*1.360VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.370:*:*:*:*:*:*:*1.370VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.380:*:*:*:*:*:*:*1.380VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.390:*:*:*:*:*:*:*1.390VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.400:*:*:*:*:*:*:*1.400VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.410:*:*:*:*:*:*:*1.410VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.420:*:*:*:*:*:*:*1.420VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.430:*:*:*:*:*:*:*1.430VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.440:*:*:*:*:*:*:*1.440VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.441:*:*:*:*:*:*:*1.441VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.450:*:*:*:*:*:*:*1.450VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.460:*:*:*:*:*:*:*1.460VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.470:*:*:*:*:*:*:*1.470VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.480:*:*:*:*:*:*:*1.480VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.490:*:*:*:*:*:*:*1.490VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.500:*:*:*:*:*:*:*1.500VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.510:*:*:*:*:*:*:*1.510VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.520:*:*:*:*:*:*:*1.520VulnerableWebmin
cpe:2.3:a:webmin:webmin:1.530:*:*:*:*:*:*:*1.530VulnerableWebmin
  • cpe:2.3:a:webmin:webmin:0.84:*:*:*:*:*:*:* Versions 0.84 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.85:*:*:*:*:*:*:* Versions 0.85 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.86:*:*:*:*:*:*:* Versions 0.86 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.87:*:*:*:*:*:*:* Versions 0.87 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.88:*:*:*:*:*:*:* Versions 0.88 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.91:*:*:*:*:*:*:* Versions 0.91 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.92:*:*:*:*:*:*:* Versions 0.92 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.93:*:*:*:*:*:*:* Versions 0.93 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.94:*:*:*:*:*:*:* Versions 0.94 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.950:*:*:*:*:*:*:* Versions 0.950 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.960:*:*:*:*:*:*:* Versions 0.960 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.970:*:*:*:*:*:*:* Versions 0.970 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.980:*:*:*:*:*:*:* Versions 0.980 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:0.990:*:*:*:*:*:*:* Versions 0.990 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.000:*:*:*:*:*:*:* Versions 1.000 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.010:*:*:*:*:*:*:* Versions 1.010 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.020:*:*:*:*:*:*:* Versions 1.020 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.030:*:*:*:*:*:*:* Versions 1.030 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.040:*:*:*:*:*:*:* Versions 1.040 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.050:*:*:*:*:*:*:* Versions 1.050 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.060:*:*:*:*:*:*:* Versions 1.060 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.070:*:*:*:*:*:*:* Versions 1.070 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.080:*:*:*:*:*:*:* Versions 1.080 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.090:*:*:*:*:*:*:* Versions 1.090 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.100:*:*:*:*:*:*:* Versions 1.100 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.110:*:*:*:*:*:*:* Versions 1.110 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.121:*:*:*:*:*:*:* Versions 1.121 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.130:*:*:*:*:*:*:* Versions 1.130 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.140:*:*:*:*:*:*:* Versions 1.140 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.150:*:*:*:*:*:*:* Versions 1.150 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.160:*:*:*:*:*:*:* Versions 1.160 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.170:*:*:*:*:*:*:* Versions 1.170 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.180:*:*:*:*:*:*:* Versions 1.180 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.190:*:*:*:*:*:*:* Versions 1.190 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.200:*:*:*:*:*:*:* Versions 1.200 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.210:*:*:*:*:*:*:* Versions 1.210 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.220:*:*:*:*:*:*:* Versions 1.220 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.230:*:*:*:*:*:*:* Versions 1.230 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.240:*:*:*:*:*:*:* Versions 1.240 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.250:*:*:*:*:*:*:* Versions 1.250 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.260:*:*:*:*:*:*:* Versions 1.260 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.270:*:*:*:*:*:*:* Versions 1.270 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.280:*:*:*:*:*:*:* Versions 1.280 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.290:*:*:*:*:*:*:* Versions 1.290 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.300:*:*:*:*:*:*:* Versions 1.300 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.310:*:*:*:*:*:*:* Versions 1.310 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.320:*:*:*:*:*:*:* Versions 1.320 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.330:*:*:*:*:*:*:* Versions 1.330 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.340:*:*:*:*:*:*:* Versions 1.340 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.350:*:*:*:*:*:*:* Versions 1.350 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.360:*:*:*:*:*:*:* Versions 1.360 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.370:*:*:*:*:*:*:* Versions 1.370 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.380:*:*:*:*:*:*:* Versions 1.380 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.390:*:*:*:*:*:*:* Versions 1.390 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.400:*:*:*:*:*:*:* Versions 1.400 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.410:*:*:*:*:*:*:* Versions 1.410 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.420:*:*:*:*:*:*:* Versions 1.420 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.430:*:*:*:*:*:*:* Versions 1.430 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.440:*:*:*:*:*:*:* Versions 1.440 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.441:*:*:*:*:*:*:* Versions 1.441 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.450:*:*:*:*:*:*:* Versions 1.450 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.460:*:*:*:*:*:*:* Versions 1.460 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.470:*:*:*:*:*:*:* Versions 1.470 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.480:*:*:*:*:*:*:* Versions 1.480 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.490:*:*:*:*:*:*:* Versions 1.490 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.500:*:*:*:*:*:*:* Versions 1.500 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.510:*:*:*:*:*:*:* Versions 1.510 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.520:*:*:*:*:*:*:* Versions 1.520 Vulnerable ·Webmin
  • cpe:2.3:a:webmin:webmin:1.530:*:*:*:*:*:*:* Versions 1.530 Vulnerable ·Webmin

Remediation

No fixed version listed by the sources yet.

Timeline

  1. 2026-10-02 Threatist record created from CVE-2011-1937
  2. 2026-10-03 Alias added: GHSA-jvc2-2g2x-7xm5

References

Exploit 3

Patch 1

Advisory 2

Other 1

  • TI-2019-11278 An issue was discovered in Webmin <=1.920. KEVCVSS 3.1CRITICAL 9.8
  • TI-2022-16770 software/apt-lib.pl in Webmin before 1.997 lacks HTML escaping for a UI command. CVSS 3.1CRITICAL 9.8
  • TI-2022-00731 Improper Access Control to Remote Code Execution in webmin/webmin CVSS 3.1HIGH 8.8
  • TI-2019-09619 In Webmin through 1.910, any user authorized to the "Package Updates" module can execute… CVSS 3.0HIGH 8.8
  • TI-2021-11777 Webmin 1.973 is affected by reflected Cross Site Scripting (XSS) to achieve Remote… CVSS 3.1CRITICAL 9.6
  • TI-2024-11888 OS command injection in Webmin CVSS 3.1HIGH 8.8
See all 95 →

Sources

This product uses the NVD API but is not endorsed or certified by the NVD. Sources and licences