CVE-2026-29964
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
HSC MailInspector v5.3.3-7 zawiera podatność Cross-Site Scripting (XSS) w endpoincie /tap/tap.php z powodu niewłaściwej neutralizacji danych wejściowych kontrolowanych przez użytkownika przy użyciu alternatywnej lub zaciemnionej składni JavaScript. Endpoint odzwierciedla nieoczyszczone dane wejściowe w odpowiedziach HTTP bez odpowiedniego kodowania wyjściowego.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji lub innych działań w imieniu użytkownika.
Rekomendacja
Wprowadź odpowiednie kodowanie wyjściowe i walidację danych wejściowych w endpoincie /tap/tap.php oraz zaktualizuj HSC MailInspector do wersji zawierającej poprawkę.
Inne podatności w HSC MailInspector
Zobacz wszystkie- CVE-2026-29965Średnie
HSC MailInspector 5.3.3-7 jest podatny na Cross Site Scripting (XSS) w endpoincie /police/WarningUrlPage.php z powodu niewłaściwej neutralizacji danych wejściowych użytkownika wykorzystujących alternatywną lub zaciemnioną składnię JavaScript.
- CVE-2026-29963Wysokie
HSC MailInspector w wersji 5.3.3-7 posiada podatność typu Path Traversal z powodu niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika w punkcie końcowym /tap/dw.php. Parametr tekstowy jest używany do konstruowania ścieżek plików bez odpowiedniej normalizacji lub ograniczenia do bezpiecznego katalogu bazowego.
- CVE-2026-29962Wysokie
HSC MailInspector w wersji 5.3.3-7 zawiera podatność typu Local File Inclusion (LFI) spowodowaną niewłaściwą kontrolą ścieżek plików dostarczanych przez użytkownika. Punkt końcowy /vendor/phpunit/phpunit.php przetwarza parametry kontrolowane przez użytkownika, co pozwala na nieautoryzowany dostęp do plików systemowych.
Oryginalny opis (angielski, źródło NVD)
HSC MailInspector v5.3.3-7 contains a Cross-Site Scripting (XSS) vulnerability in the /tap/tap.php endpoint due to improper neutralization of user-controlled input using alternate or obfuscated JavaScript syntax. The endpoint reflects unsanitized user input in HTTP responses without adequate output encoding, allowing a remote attacker to execute arbitrary JavaScript code in the context of a victim's browser.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS