CVE-2026-23752
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji tworzenia i edycji grup szablonów. Uwierzytelniony administrator może wstrzyknąć dowolny JavaScript poprzez parametr POST companyname bez sanityzacji HTML, a skrypt wykonuje się w przeglądarkach administratorów przeglądających stronę Templates > Groups.
Ocena ryzyka
Możliwe wykonanie złośliwego skryptu w kontekście uprzywilejowanych kont administratorów, co grozi przejęciem sesji i dalszymi atakami.
Rekomendacja
Zaktualizuj GFI HelpDesk do wersji 4.99.9 lub nowszej. Wdróż Content-Security-Policy i ogranicz dostęp do funkcji szablonów.
Inne podatności w GFI HelpDesk
Zobacz wszystkie- CVE-2026-23758Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w polu tematu zgłoszenia. Uwierzytelniony pracownik może wstrzyknąć złośliwy JavaScript poprzez parametr POST editsubject, omijając niekompletną metodę SanitizeForXSS(), a skrypt wykonuje się w przeglądarce innych pracowników lub administratorów.
- CVE-2026-23757Średnie
GFI HelpDesk przed 4.99.10 zawiera podatność typu stored XSS w module Reports, gdzie parametr title jest przekazywany bezpośrednio do SWIFT_Report::Create() bez sanityzacji HTML. Atakujący mogą wstrzyknąć dowolny JavaScript do pola tytułu raportu, który wykonuje się gdy personel kliknie link raportu w interfejsie Manage Reports.
- CVE-2026-23756Średnie
GFI HelpDesk przed 4.99.9 zawiera podatność typu stored XSS w module Troubleshooter, gdzie parametr POST subject nie jest sanityzowany w Controller_Step.InsertSubmit() i EditSubmit() przed renderowaniem przez View_Step.RenderViewSteps(). Uwierzytelniony pracownik może wstrzyknąć dowolny JavaScript do pola tematu kroku, który wykonuje się gdy użytkownik kliknie link kroku w Troubleshooter > View Troubleshooter.
- CVE-2026-23753Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji zarządzania językami. Parametr POST charset jest przekazywany bez sanityzacji HTML do SWIFT_Language::Create() i renderowany bez oczyszczenia przez View_Language.RenderGrid(), co pozwala uwierzytelnionemu administratorowi wstrzyknąć dowolny JavaScript.
Oryginalny opis (angielski, źródło NVD)
GFI HelpDesk before 4.99.9 contains a stored cross-site scripting vulnerability in the template group creation and editing functionality that allows authenticated administrators to inject arbitrary JavaScript by manipulating the companyname POST parameter without HTML sanitization. Attackers can inject malicious scripts through the companyname field that execute in the browsers of any administrator viewing the Templates > Groups page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS