CVE-2026-23757
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
GFI HelpDesk przed 4.99.10 zawiera podatność typu stored XSS w module Reports, gdzie parametr title jest przekazywany bezpośrednio do SWIFT_Report::Create() bez sanityzacji HTML. Atakujący mogą wstrzyknąć dowolny JavaScript do pola tytułu raportu, który wykonuje się gdy personel kliknie link raportu w interfejsie Manage Reports.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny JavaScript w przeglądarce personelu, potencjalnie przejmując sesje lub wykonując działania w imieniu ofiar.
Rekomendacja
Zaktualizuj GFI HelpDesk do wersji 4.99.10 lub nowszej.
Inne podatności w GFI HelpDesk
Zobacz wszystkie- CVE-2026-23758Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w polu tematu zgłoszenia. Uwierzytelniony pracownik może wstrzyknąć złośliwy JavaScript poprzez parametr POST editsubject, omijając niekompletną metodę SanitizeForXSS(), a skrypt wykonuje się w przeglądarce innych pracowników lub administratorów.
- CVE-2026-23756Średnie
GFI HelpDesk przed 4.99.9 zawiera podatność typu stored XSS w module Troubleshooter, gdzie parametr POST subject nie jest sanityzowany w Controller_Step.InsertSubmit() i EditSubmit() przed renderowaniem przez View_Step.RenderViewSteps(). Uwierzytelniony pracownik może wstrzyknąć dowolny JavaScript do pola tematu kroku, który wykonuje się gdy użytkownik kliknie link kroku w Troubleshooter > View Troubleshooter.
- CVE-2026-23753Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji zarządzania językami. Parametr POST charset jest przekazywany bez sanityzacji HTML do SWIFT_Language::Create() i renderowany bez oczyszczenia przez View_Language.RenderGrid(), co pozwala uwierzytelnionemu administratorowi wstrzyknąć dowolny JavaScript.
- CVE-2026-23752Średnie
GFI HelpDesk przed wersją 4.99.9 zawiera podatność typu stored XSS w funkcji tworzenia i edycji grup szablonów. Uwierzytelniony administrator może wstrzyknąć dowolny JavaScript poprzez parametr POST companyname bez sanityzacji HTML, a skrypt wykonuje się w przeglądarkach administratorów przeglądających stronę Templates > Groups.
Oryginalny opis (angielski, źródło NVD)
GFI HelpDesk before 4.99.10 contains a stored cross-site scripting vulnerability in the Reports module where the title parameter is passed directly to SWIFT_Report::Create() without HTML sanitization. Attackers can inject arbitrary JavaScript into the report title field when creating or editing a report, and the payload executes when staff members view and click the affected report link in the Manage Reports interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS