CVE-2026-73531
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
django-helpdesk przed wersją 2.3.3 zawiera podatność na trwały cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego JavaScriptu poprzez wysyłanie wiadomości e-mail w formacie HTML lub przesyłanie załączników .html/.htm przez publiczne kanały zgłaszania biletów. Atakujący mogą wykorzystać brak sanityzacji i nagłówków Content-Disposition w warstwie serwowania załączników, aby wykonać złośliwe skrypty w sesji przeglądarki uwierzytelnionych pracowników, którzy otworzą załącznik podczas triażu biletów.
Ocena ryzyka
Ryzyko przejęcia sesji pracowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację django-helpdesk do wersji 2.3.3 lub nowszej oraz wdrożenie dodatkowych mechanizmów sanityzacji treści i nagłówków Content-Disposition.
Oryginalny opis (angielski, źródło NVD)
django-helpdesk before 2.3.3 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to inject arbitrary JavaScript by submitting HTML-formatted email messages or uploading .html/.htm file attachments through public ticket submission channels. Attackers can exploit the lack of sanitization and Content-Disposition headers at the attachment-serving layer to execute malicious scripts in the browser session of authenticated staff members who open the attachment while triaging tickets.