CVE-2026-22198
Təsvir
GestSup-ın 3.2.60 versiyasından əvvəlki versiyalarında API xətalarının loqlanması funksionallığında autentifikasiyadan öncə baş verən saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. Hazırlanmış X-API-KEY başlıq dəyəri ilə API sorğusu göndərməklə (məsələn, /api/v1/ticket.php ünvanına), autentifikasiya olunmamış hücumçu hücumçunun nəzarətində olan HTML/JavaScript kodlarının loq yazılara yazılmasına səbəb ola bilər. Administrator daha sonra veb interfeysdə təsirə məruz qalmış loqları görüntülədikdə, injeksiya edilmiş məzmun düzgün çıxış kodlaşdırılması olmadan render edilir və bu da administratorun brauzer sessiyasında ixtiyari skriptin icrasıyla nəticələnir.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gestsup gestsup | v ≤ 3.2.56 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.