CVE-2026-73524

ŚrednieCVSS 6.1

Opublikowano: 01/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Cypht przed wersją 2.12.2 zawiera podatność na cross-site scripting w module kontaktów, która pozwala zdalnym atakującym na wykonanie dowolnego skryptu poprzez osadzenie złośliwych danych w nagłówku FROM wiadomości e-mail. Logika sanityzacji usuwa tylko pierwsze wystąpienie każdego znaku nawiasu ostrego, pozostawiając kolejne, co atakujący wykorzystują, dostarczając spreparowaną wiadomość, której nagłówek FROM wykonuje skrypt w przeglądarce ofiary po otwarciu wiadomości i skorzystaniu z funkcji Dodaj lokalne kontakty.

Ocena ryzyka

Ryzyko obejmuje możliwość wykonania skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.

Rekomendacja

Zaktualizuj Cypht do wersji 2.12.2 lub nowszej oraz poinstruuj użytkowników, aby nie otwierali podejrzanych wiadomości e-mail.

Inne podatności w Cypht

CVE-2026-71981Wysokie
Cypht przed wersją 2.12.2 zawiera podatność na wstrzykiwanie obiektów PHP, która pozwala uwierzytelnionym atakującym na wykonanie dowolnych poleceń systemu operacyjnego poprzez dostarczenie spreparowanego grafu obiektów PHP w parametrze back_query w handlerze wylogowania. Atakujący mogą przekazać zakodowany w base64 serializowany ładunek, który jest dekodowany i przekazywany bezpośrednio do funkcji unserialize() bez listy dozwolonych, kontroli podpisu ani ograniczeń typu, co umożliwia wykorzystanie łańcucha gadżetów do zdalnego wykonania kodu jako proces serwera WWW.

Oryginalny opis (angielski, źródło NVD)

Cypht before 2.12.2 contains a cross-site scripting vulnerability in the contacts module that allows remote attackers to execute arbitrary script content by embedding malicious payloads within angle brackets in the FROM email header. The sanitization logic removes only the first occurrence of each angle bracket character, leaving additional angle brackets intact, which attackers exploit by delivering a crafted email whose FROM header executes script in the victim's browser when the user opens the message and accesses the Add Local Contacts function.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS