PT-2026-42508 · Openises+1 · Tickets

CVE-2026-48230 · Publicado 2026-05-21 · Atualizado 2026-07-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Open ISES Tickets versões anteriores a 3.44.2

Description Um problema de cross-site scripting refletido existe no endpoint 'ticketsmdb import.php'. Atacantes autenticados podem injetar JavaScript arbitrário fornecendo valores não sanitizados através dos parâmetros POST mdbhost, mdbdb, mdbuser, mdbpassword, mdbprefix, ticketshost, ticketsdb, ticketsuser, ticketspassword e ticketsprefix. Esses valores são inseridos diretamente nos atributos de valor de entrada oculta do formulário HTML, permitindo que um payload malicioso seja executado no navegador da vítima quando a resposta é renderizada.

Recommendations Atualize para a versão 3.44.2 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-48230

Produtos afetados

Tickets

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/48xxx/CVE-2026-48230.json · Exploit
• https://github.com/openises/tickets/releases/tag/v3.44.2 · Nota
• https://github.com/openises/tickets/commit/ecfeb406a016766cae81c749e14b5145a9f2dbff · Correção
• https://vulncheck.com/advisories/open-ises-tickets-reflected-xss-via-ticketsmdb-import-php-multiple-parameters · Nota
• https://osv.dev/vulnerability/CVE-2026-48230 · Aviso do Fabricante
• https://t.me/cveNotify/217104 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-48230 · Nota de Segurança