PT-2026-33815 · Gfi · Gfi Helpdesk

Alex Williams + 1 · Publicado 2026-04-20 · Atualizado 2026-04-21 · CVE-2026-23758

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.4

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:H/SI:H/SA:H

Name of the Vulnerable Software and Affected Versions GFI HelpDesk versões anteriores a 4.99.9

Description Um problema de cross-site scripting armazenado existe no campo de assunto do ticket. Membros da equipe autenticados podem injetar JavaScript malicioso manipulando o parâmetro POST 'editsubject'. Isso ocorre devido à sanitização inadequada na função Controller Ticket.EditSubmit(), que ignora o método SanitizeForXSS() incompleto, permitindo a execução de JavaScript arbitrário quando outros membros da equipe ou administradores visualizam o ticket afetado.

Recommendations Atualize para a versão 4.99.9 ou posterior. Como medida paliativa temporária, restrinja o acesso à função Controller Ticket.EditSubmit() ou ao parâmetro 'editsubject' para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-23758

Produtos afetados

Gfi Helpdesk

Referências · 5

• https://gfi.ai/products-and-solutions/email-and-messaging-solutions/helpdesk/resources/product-releases · Correção, Aviso do Fabricante
• https://vulncheck.com/advisories/gfi-helpdesk-stored-xss-via-editsubject-parameter · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-23758 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2046326040402739524 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2046571916052562347 · Publicação no Twitter