در نسخه‌های پیش از 2026.2 نرم‌افزار openEQUELLA، یک آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) شناسایی شده است. این نقص امنیتی به دلیل عدم انجام فرآیندهای Encoding یا Sanitization بر روی اعلان‌های پیش از ورود (pre-login notice) که به صورت HTML ذخیره می‌شوند، رخ می‌دهد.
مهاجمانی که دارای مجوز EDIT_SYSTEM_SETTINGS باشند، می‌توانند از طریق ارسال یک درخواست PUT /api/preloginnotice، اسکریپت‌های مخرب خود را در اعلان‌های سیستم تزریق کنند. این اسکریپت‌ها هنگام نمایش در صفحه ورود قدیمی (legacy logon page) اجرا خواهند شد.
نکته بسیار مهم این است که اگر مجوز EDIT_SYSTEM_SETTINGS به کاربرانی با سطح دسترسی پایین مانند guest یا گروه‌های عمومی (Everyone) اختصاص یافته باشد، این حمله می‌تواند به صورت Unauthenticated (بدون نیاز به احراز هویت) انجام شود که خطر سرقت اطلاعات حساس کاربران را به همراه دارد.
