CVE-2026-23756
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
GFI HelpDesk przed 4.99.9 zawiera podatność typu stored XSS w module Troubleshooter, gdzie parametr POST subject nie jest sanityzowany w Controller_Step.InsertSubmit() i EditSubmit() przed renderowaniem przez View_Step.RenderViewSteps(). Uwierzytelniony pracownik może wstrzyknąć dowolny JavaScript do pola tematu kroku, który wykonuje się gdy użytkownik kliknie link kroku w Troubleshooter > View Troubleshooter.
Ocena ryzyka
Uwierzytelniony pracownik może wykonać dowolny JavaScript w przeglądarkach innych użytkowników, potencjalnie przejmując sesje.
Rekomendacja
Zaktualizuj GFI HelpDesk do wersji 4.99.9 lub nowszej.
Inne podatności w GFI HelpDesk
Zobacz wszystkie- CVE-2026-23758Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w polu tematu zgłoszenia. Uwierzytelniony pracownik może wstrzyknąć złośliwy JavaScript poprzez parametr POST editsubject, omijając niekompletną metodę SanitizeForXSS(), a skrypt wykonuje się w przeglądarce innych pracowników lub administratorów.
- CVE-2026-23757Średnie
GFI HelpDesk przed 4.99.10 zawiera podatność typu stored XSS w module Reports, gdzie parametr title jest przekazywany bezpośrednio do SWIFT_Report::Create() bez sanityzacji HTML. Atakujący mogą wstrzyknąć dowolny JavaScript do pola tytułu raportu, który wykonuje się gdy personel kliknie link raportu w interfejsie Manage Reports.
- CVE-2026-23753Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji zarządzania językami. Parametr POST charset jest przekazywany bez sanityzacji HTML do SWIFT_Language::Create() i renderowany bez oczyszczenia przez View_Language.RenderGrid(), co pozwala uwierzytelnionemu administratorowi wstrzyknąć dowolny JavaScript.
- CVE-2026-23752Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji tworzenia i edycji grup szablonów. Uwierzytelniony administrator może wstrzyknąć dowolny JavaScript poprzez parametr POST companyname bez sanityzacji HTML, a skrypt wykonuje się w przeglądarkach administratorów przeglądających stronę Templates > Groups.
Oryginalny opis (angielski, źródło NVD)
GFI HelpDesk before 4.99.9 contains a stored cross-site scripting vulnerability in the Troubleshooter module where the subject POST parameter is not sanitized in Controller_Step.InsertSubmit() and EditSubmit() before being rendered by View_Step.RenderViewSteps(). An authenticated staff member can inject arbitrary JavaScript into the step subject field, and the payload executes when any user navigates to Troubleshooter > View Troubleshooter and clicks the affected step link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS