CVE-2026-29965
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
HSC MailInspector 5.3.3-7 jest podatny na Cross Site Scripting (XSS) w endpoincie /police/WarningUrlPage.php z powodu niewłaściwej neutralizacji danych wejściowych użytkownika wykorzystujących alternatywną lub zaciemnioną składnię JavaScript.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub działań w imieniu użytkownika.
Rekomendacja
Zaktualizuj HSC MailInspector do wersji zawierającej poprawkę lub wdróż walidację i sanityzację danych wejściowych w endpoincie WarningUrlPage.php. Rozważ wdrożenie nagłówka Content-Security-Policy.
Inne podatności w HSC MailInspector
Zobacz wszystkie- CVE-2026-29964Średnie
HSC MailInspector v5.3.3-7 zawiera podatność Cross-Site Scripting (XSS) w endpoincie /tap/tap.php z powodu niewłaściwej neutralizacji danych wejściowych kontrolowanych przez użytkownika przy użyciu alternatywnej lub zaciemnionej składni JavaScript. Endpoint odzwierciedla nieoczyszczone dane wejściowe w odpowiedziach HTTP bez odpowiedniego kodowania wyjściowego.
- CVE-2026-29963Wysokie
HSC MailInspector w wersji 5.3.3-7 posiada podatność typu Path Traversal z powodu niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika w punkcie końcowym /tap/dw.php. Parametr tekstowy jest używany do konstruowania ścieżek plików bez odpowiedniej normalizacji lub ograniczenia do bezpiecznego katalogu bazowego.
- CVE-2026-29962Wysokie
HSC MailInspector w wersji 5.3.3-7 zawiera podatność typu Local File Inclusion (LFI) spowodowaną niewłaściwą kontrolą ścieżek plików dostarczanych przez użytkownika. Punkt końcowy /vendor/phpunit/phpunit.php przetwarza parametry kontrolowane przez użytkownika, co pozwala na nieautoryzowany dostęp do plików systemowych.
Oryginalny opis (angielski, źródło NVD)
HSC MailInspector 5.3.3-7 is vulnerable to Cross Site Scripting (XSS) in the /police/WarningUrlPage.php endpoint due to improper neutralization of user-supplied input that uses alternate or obfuscated JavaScript syntax.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS