GFI HelpDesk < 4.99.9 Stored XSS via charset Parameter

GFI HelpDesk before 4.99.9 contains a stored cross-site scripting vulnerability in the language management functionality where the charset POST parameter is passed directly to SWIFT_Language::Create() without HTML sanitization and subsequently rendered unsanitized by View_Language.RenderGrid(). An authenticated administrator can inject arbitrary JavaScript through the charset field when creating or editing a language, and the payload executes in the browser of any administrator viewing the Languages page.

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

GFI HelpDesk 安全漏洞

GFI HelpDesk是美国GFI开源的一个面向企业IT支持流程的服务请求与工单管理系统。 GFI HelpDesk 4.99.9之前版本存在安全漏洞，该漏洞源于语言管理功能中对charset POST参数清理不足，可能导致经过身份验证的管理员在创建或编辑语言时注入任意JavaScript，从而在查看Languages页面的任何管理员浏览器中执行。

N/A

N/A