CVE-2026-48539
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
GFI Archiver przed wersją 15.14 zawiera podatność stored cross-site scripting w konfiguracji raportu zaplanowanego MailInsights, która pozwala uwierzytelnionym atakującym na wstrzyknięcie dowolnego skryptu internetowego lub HTML poprzez parametr nazwy raportu do /Archiver/MailInsights.aspx. Wstrzyknięty ładunek jest przechowywany przez ReportScheduling.btnSaveReport_Click() bez kodowania wyjściowego i wykonuje się w przeglądarce użytkownika, który utworzył raport, gdy następnie przegląda stronę MailInsights.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży danych uwierzytelniających lub przejęcia sesji.
Rekomendacja
Zaktualizuj GFI Archiver do wersji 15.14 lub nowszej, a do tego czasu ogranicz dostęp do konfiguracji raportów MailInsights do zaufanych administratorów.
Inne podatności w GFI Archiver
Zobacz wszystkie- CVE-2026-112333Średnie
GFI Archiver przed wersją 15.14 zawiera przechowywaną podatność cross-site scripting w konfiguracji zaplanowanych raportów MailInsights. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez parametr nazwy raportu do /Archiver/MailInsights.aspx; ładunek jest zapisywany przez ReportScheduling.btnSaveReport_Click() bez kodowania wyjścia i wykonywany w przeglądarce użytkownika, który utworzył raport, gdy następnie wyświetli stronę MailInsights.
- CVE-2026-48538Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w domyślnych ustawieniach importu. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr skonfigurowanych folderów w /Archiver/ImportSettingsWizard.ashx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia domyślnego importu.
- CVE-2026-48537Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji Asystenta Archiwizacji Plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr wykluczonych rozszerzeń w /Archiver/FileArchiveAssistantWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia Asystenta.
- CVE-2026-48536Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji SMTP w Ustawieniach Ogólnych. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera SMTP w /Archiver/GeneralSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Ogólnych.
- CVE-2026-48535Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera proxy Call Home. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera proxy w /Archiver/CallHomeSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Dodatkowych Ustawień Ogólnych.
- CVE-2026-48534Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera IMAP. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu URL serwera w /Archiver/ImapServerWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę konfiguracji serwera IMAP.
- CVE-2026-48532Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania historii plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/FAARetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania historii plików.
- CVE-2026-48531Średnie
W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/RetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania i spamowych.
- CVE-2026-48530Średnie
GFI Archiver przed wersją 15.14 zawiera podatność stored cross-site scripting w konfiguracji reguł klasyfikacji, która pozwala uwierzytelnionym atakującym na wstrzyknięcie dowolnego skryptu internetowego lub HTML poprzez parametry nazwy reguły i kryteriów e-mail do /Archiver/CategorizationPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany przez CategorizationPolicyWizard.SaveAllConfigSettings() bez kodowania wyjściowego i wykonuje się w przeglądarkach użytkowników, którzy następnie przeglądają stronę reguł klasyfikacji.
Oryginalny opis (angielski, źródło NVD)
GFI Archiver before 15.14 contains a stored cross-site scripting vulnerability in the MailInsights scheduled report configuration that allows authenticated attackers to inject arbitrary web script or HTML via the report name parameter to /Archiver/MailInsights.aspx. The injected payload is stored by ReportScheduling.btnSaveReport_Click() without output encoding and is executed in the browser of the user who created the scheduled report when they subsequently view the MailInsights page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS