CVE-2020-24917

ŚrednieCVSS 6.1

Opublikowano: 30/08/2020(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.22%

Percentyl 65 - wyżej niż 65% wszystkich znanych CVE

Streszczenie

Podatność XSS w osTicket przed wersją 1.14.3 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez spreparowaną nazwę pliku przesyłanego do funkcji _uploadInlineImage() w pliku include/ajax.draft.php.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.

Rekomendacja

Należy niezwłocznie zaktualizować osTicket do wersji 1.14.3 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.

Oryginalny opis (angielski, źródło NVD)

osTicket before 1.14.3 allows XSS via a crafted filename to DraftAjaxAPI::_uploadInlineImage() in include/ajax.draft.php.