CVE-2026-45551
Təsvir
Group-Office müəssisələr üçün müştəri münasibətlərinin idarə edilməsi və qrup işi alətidir. 26.0.25, 25.0.100 və 6.8.165 versiyalarından əvvəl GroupOffice autentifikasiya olunmuş istifadəçilərə index.php?r=core/saveSetting vasitəsilə hər hansı user_id üçün ixtiyari köhnə parametrləri saxlamağa imkan verir. E-poçt modulundakı ayrıca klient tərəfli sink, email_font_size parametrini escape etmədən birbaşa JavaScript-ə inyeksiya edir. Bu iki problemin birləşdirilməsi ilə, aşağı imtiyazlı hər hansı autentifikasiya olunmuş istifadəçi administratorun email_font_size parametrini JavaScript payload ilə əvəz edə bilər və GroupOffice veb klienti views/Extjs3/modulescripts.php faylını yüklədikdə administratorun brauzerində saxlanılmış XSS-i tetikləyə bilər. Bu zəiflik 26.0.25, 25.0.100 və 6.8.165 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Intermesh groupoffice | >= 26.0.1, < 26.0.25, >= 25.0.1, < 25.0.1005, < 6.8.165 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.