CVE-2026-40229

ŚrednieCVSS 5.4

Opublikowano: 29/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Helpy zawiera podatność na przechowywany cross-site scripting w logice wyświetlania autora posta. Każdy zarejestrowany użytkownik może zapisać dowolny HTML w polu nazwy konta, który jest renderowany bez escapowania w publicznych wątkach forum, w widoku zgłoszeń administratora oraz w e-mailach powiadomień HTML wysyłanych do innych użytkowników. Problem dotyczy helpy w wersji 2.8.0.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarkach innych użytkowników, w tym administratorów, co może prowadzić do przejęcia sesji. Wymaga jedynie rejestracji konta.

Rekomendacja

Zaktualizuj Helpy do wersji zawierającej poprawkę lub wdróż escapowanie danych wyjściowych w polu nazwy użytkownika. Rozważ ograniczenie możliwości rejestracji nowych kont.

Inne podatności w Helpy

CVE-2026-40230Średnie
Helpy zawiera podatność na przechowywany cross-site scripting w logice renderowania dokumentów bazy wiedzy. Uwierzytelniony atakujący z uprawnieniami administratora lub agenta edytora może zapisać dowolny HTML lub JavaScript w polu body dokumentu bazy wiedzy. Problem dotyczy helpy w wersji 2.8.0.

Oryginalny opis (angielski, źródło NVD)

Helpy contains a stored cross-site scripting vulnerability in the post author display logic. Any registered user can persist arbitrary HTML in their account name field and cause it to be rendered unescaped in public forum threads where they participate, in the admin ticket view, and in HTML notification emails sent to other users.This issue affects helpy: 2.8.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS