CVE-2026-23753
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji zarządzania językami. Parametr POST charset jest przekazywany bez sanityzacji HTML do SWIFT_Language::Create() i renderowany bez oczyszczenia przez View_Language.RenderGrid(), co pozwala uwierzytelnionemu administratorowi wstrzyknąć dowolny JavaScript.
Ocena ryzyka
Złośliwy skrypt wykonuje się w przeglądarce każdego administratora przeglądającego stronę Languages, co może prowadzić do przejęcia sesji uprzywilejowanego konta.
Rekomendacja
Zaktualizuj GFI HelpDesk do wersji 4.99.9 lub nowszej. Ogranicz liczbę kont administracyjnych i wdróż Content-Security-Policy.
Inne podatności w GFI HelpDesk
Zobacz wszystkie- CVE-2026-23758Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w polu tematu zgłoszenia. Uwierzytelniony pracownik może wstrzyknąć złośliwy JavaScript poprzez parametr POST editsubject, omijając niekompletną metodę SanitizeForXSS(), a skrypt wykonuje się w przeglądarce innych pracowników lub administratorów.
- CVE-2026-23757Średnie
GFI HelpDesk przed 4.99.10 zawiera podatność typu stored XSS w module Reports, gdzie parametr title jest przekazywany bezpośrednio do SWIFT_Report::Create() bez sanityzacji HTML. Atakujący mogą wstrzyknąć dowolny JavaScript do pola tytułu raportu, który wykonuje się gdy personel kliknie link raportu w interfejsie Manage Reports.
- CVE-2026-23756Średnie
GFI HelpDesk przed 4.99.9 zawiera podatność typu stored XSS w module Troubleshooter, gdzie parametr POST subject nie jest sanityzowany w Controller_Step.InsertSubmit() i EditSubmit() przed renderowaniem przez View_Step.RenderViewSteps(). Uwierzytelniony pracownik może wstrzyknąć dowolny JavaScript do pola tematu kroku, który wykonuje się gdy użytkownik kliknie link kroku w Troubleshooter > View Troubleshooter.
- CVE-2026-23752Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji tworzenia i edycji grup szablonów. Uwierzytelniony administrator może wstrzyknąć dowolny JavaScript poprzez parametr POST companyname bez sanityzacji HTML, a skrypt wykonuje się w przeglądarkach administratorów przeglądających stronę Templates > Groups.
Oryginalny opis (angielski, źródło NVD)
GFI HelpDesk before 4.99.9 contains a stored cross-site scripting vulnerability in the language management functionality where the charset POST parameter is passed directly to SWIFT_Language::Create() without HTML sanitization and subsequently rendered unsanitized by View_Language.RenderGrid(). An authenticated administrator can inject arbitrary JavaScript through the charset field when creating or editing a language, and the payload executes in the browser of any administrator viewing the Languages page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS