CVE-2026-120332
ŚrednieCVSS 5.1Streszczenie
Zawartość HTML wiadomości e-mail oraz śledzonych adresów URL jest renderowana w module backendowym bez escapowania. Użytkownicy backendu mający dostęp do modułu poczty mogą wstrzykiwać dowolny HTML i JavaScript, który jest wykonywany w kontekście innych użytkowników backendu przeglądających podgląd wiadomości lub raport.
Ocena ryzyka
Możliwe jest wykonanie złośliwego skryptu w przeglądarce innych administratorów (atak typu stored XSS), co może prowadzić do przejęcia sesji lub wykonania nieautoryzowanych działań w panelu administracyjnym.
Rekomendacja
Zaktualizuj moduł poczty do wersji zawierającej poprawkę escapowania HTML oraz w razie potrzeby ogranicz dostęp do modułu poczty wyłącznie zaufanym użytkownikom backendu.
Inne podatności w Mail backend module
Zobacz wszystkie- CVE-2026-120331Średnie
Treść zewnętrznych adresów URL w wiadomościach, ich arkusze stylów oraz osadzane obrazy są pobierane przez serwer bez walidacji hosta docelowego. Użytkownicy backendu mający dostęp do modułu poczty mogą wymusić na serwerze wysyłanie żądań do hostów w sieci wewnętrznej.
- CVE-2026-120329Średnie
Zapisywanie konfiguracji modułu backendu poczty zapisuje przesłane ustawienia do TSconfig strony bez ograniczania ich do opcji konfiguracyjnych modułu. Użytkownicy backendu mający dostęp do modułu poczty mogą zapisać dowolny TSconfig strony.
Oryginalny opis (angielski, źródło NVD)
The HTML content of mails and tracked URLs are rendered unescaped in the backend module. Backend users with access to the mail module can inject arbitrary HTML and JavaScript, which is executed in the context of other backend users viewing the mail preview or report.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS