CVE-2026-40230

ŚrednieCVSS 5.4

Opublikowano: 29/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Helpy zawiera podatność na przechowywany cross-site scripting w logice renderowania dokumentów bazy wiedzy. Uwierzytelniony atakujący z uprawnieniami administratora lub agenta edytora może zapisać dowolny HTML lub JavaScript w polu body dokumentu bazy wiedzy. Problem dotyczy helpy w wersji 2.8.0.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarkach użytkowników przeglądających bazę wiedzy, co może prowadzić do kradzieży sesji lub innych działań. Wymaga uprawnień edytora.

Rekomendacja

Zaktualizuj Helpy do wersji zawierającej poprawkę lub wdróż sanityzację danych wejściowych w polu body dokumentów. Ogranicz uprawnienia edytora do zaufanych osób.

Inne podatności w Helpy

CVE-2026-40229Średnie
Helpy zawiera podatność na przechowywany cross-site scripting w logice wyświetlania autora posta. Każdy zarejestrowany użytkownik może zapisać dowolny HTML w polu nazwy konta, który jest renderowany bez escapowania w publicznych wątkach forum, w widoku zgłoszeń administratora oraz w e-mailach powiadomień HTML wysyłanych do innych użytkowników. Problem dotyczy helpy w wersji 2.8.0.

Oryginalny opis (angielski, źródło NVD)

Helpy contains a stored cross-site scripting vulnerability in the knowledge base Doc rendering logic. An authenticated attacker with admin or agent editor privileges can persist arbitrary HTML or JavaScript in the body field of a knowledge base Doc.This issue affects helpy: 2.8.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS