CVE-2026-48539
ŚrednieCVSS 5.4Streszczenie
GFI Archiver przed wersją 15.13 zawiera podatność na trwały cross-site scripting (XSS) w konfiguracji zaplanowanych raportów MailInsights, która umożliwia uwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu internetowego lub HTML za pomocą parametru nazwy raportu w /Archiver/MailInsights.aspx. Wstrzyknięty ładunek jest przechowywany przez ReportScheduling.btnSaveReport_Click() bez kodowania wyjścia i jest wykonywany w przeglądarce użytkownika, który utworzył zaplanowany raport, gdy następnie przegląda stronę MailInsights.
Ocena ryzyka
Ryzyko polega na możliwości wykonania skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowania do złośliwych stron lub innych szkodliwych działań w kontekście aplikacji.
Rekomendacja
Należy zaktualizować GFI Archiver do wersji 15.13 lub nowszej, która zawiera poprawkę kodującą dane wyjściowe parametru nazwy raportu.
Inne podatności w GFI Archiver
Zobacz wszystkie- CVE-2026-48538Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w domyślnych ustawieniach importu. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr skonfigurowanych folderów w /Archiver/ImportSettingsWizard.ashx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia domyślnego importu.
- CVE-2026-48537Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji Asystenta Archiwizacji Plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr wykluczonych rozszerzeń w /Archiver/FileArchiveAssistantWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia Asystenta.
- CVE-2026-48536Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji SMTP w Ustawieniach Ogólnych. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera SMTP w /Archiver/GeneralSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Ogólnych.
- CVE-2026-48534Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera IMAP. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu URL serwera w /Archiver/ImapServerWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę konfiguracji serwera IMAP.
- CVE-2026-48532Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania historii plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/FAARetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania historii plików.
- CVE-2026-48531Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/RetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania i spamowych.
- CVE-2026-48530Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji reguł klasyfikacji. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametry nazwy reguły i kryteriów e-mail w /Archiver/CategorizationPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę reguł klasyfikacji.
- CVE-2026-48535Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera proxy Call Home. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera proxy w /Archiver/CallHomeSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Dodatkowych Ustawień Ogólnych.
Oryginalny opis (angielski, źródło NVD)
GFI Archiver before 15.13 contains a stored cross-site scripting vulnerability in the MailInsights scheduled report configuration that allows authenticated attackers to inject arbitrary web script or HTML via the report name parameter to /Archiver/MailInsights.aspx. The injected payload is stored by ReportScheduling.btnSaveReport_Click() without output encoding and is executed in the browser of the user who created the scheduled report when they subsequently view the MailInsights page.