CVE-2026-85742
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
FreeScout to samoobsługowe biuro pomocy i współdzielona skrzynka pocztowa. W wersjach wcześniejszych niż 1.8.230 wstępnie uwierzytelniony atakujący może umieścić kod HTML w wartości wiadomości e-mail dotyczącej nieudanego logowania, która jest kopiowana poprzez monitorowaną aktywność użytkownika do umieszczonego w kolejce zadania SendAlert. Jeśli dostarczenie alertu nie powiedzie się, serializowany ładunek jest przechowywany w pliku Failure_jobs, a punkt końcowy szczegółów zadania administratora renderuje go po oczyszczeniu czarnej listy, która pozostawia wykonywalne atrybuty obsługi zdarzeń. Kiedy administrator otwiera /system/ajax-html/job_details/{id} jako stronę najwyższego poziomu, surowy fragment nie ma normalnych zasad układu, a JavaScript kontrolowany przez osobę atakującą może wykonywać działania administratora tego samego pochodzenia. Wymagane jest monitorowanie dzienników dla użytkowników, nieudane zadanie wiadomości e-mail z alertem, przechowywanie w przypadku awarii kolejki i interakcja administratora najwyższego poziomu; testowana konfiguracja nie ma wpływu na normalną ścieżkę modalną. Ten problem został rozwiązany w wersji 1.8.230.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org