CVE-2026-48538
ŚrednieCVSS 5.4Streszczenie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w domyślnych ustawieniach importu. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr skonfigurowanych folderów w /Archiver/ImportSettingsWizard.ashx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia domyślnego importu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w kontekście sesji innych administratorów, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków wewnątrz systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację GFI Archiver do wersji 15.13 lub nowszej, która usuwa tę podatność.
Inne podatności w GFI Archiver
Zobacz wszystkie- CVE-2026-48539Średnie
GFI Archiver przed wersją 15.13 zawiera podatność na trwały cross-site scripting (XSS) w konfiguracji zaplanowanych raportów MailInsights, która umożliwia uwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu internetowego lub HTML za pomocą parametru nazwy raportu w /Archiver/MailInsights.aspx. Wstrzyknięty ładunek jest przechowywany przez ReportScheduling.btnSaveReport_Click() bez kodowania wyjścia i jest wykonywany w przeglądarce użytkownika, który utworzył zaplanowany raport, gdy następnie przegląda stronę MailInsights.
- CVE-2026-48537Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji Asystenta Archiwizacji Plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr wykluczonych rozszerzeń w /Archiver/FileArchiveAssistantWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia Asystenta.
- CVE-2026-48536Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji SMTP w Ustawieniach Ogólnych. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera SMTP w /Archiver/GeneralSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Ogólnych.
- CVE-2026-48534Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera IMAP. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu URL serwera w /Archiver/ImapServerWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę konfiguracji serwera IMAP.
- CVE-2026-48532Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania historii plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/FAARetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania historii plików.
- CVE-2026-48531Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/RetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania i spamowych.
- CVE-2026-48530Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji reguł klasyfikacji. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametry nazwy reguły i kryteriów e-mail w /Archiver/CategorizationPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę reguł klasyfikacji.
- CVE-2026-48535Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera proxy Call Home. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera proxy w /Archiver/CallHomeSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Dodatkowych Ustawień Ogólnych.
Oryginalny opis (angielski, źródło NVD)
GFI Archiver before 15.13 contains a stored cross-site scripting vulnerability in the default import settings configuration that allows authenticated attackers to inject arbitrary web script or HTML via the configured folders parameter to /Archiver/ImportSettingsWizard.ashx. The injected payload is stored by ImportSettingsWizard.SaveAllConfigSettings() without output encoding and is executed in the browsers of users who subsequently view the Archive Assistant default import settings.