CVE-2026-45551
Açıklama
Group-Office, kurumsal bir müşteri ilişkileri yönetimi ve grup yazılımı aracıdır. 26.0.25, 25.0.100 ve 6.8.165 sürümlerinden önce GroupOffice, kimliği doğrulanmış kullanıcıların index.php?r=core/saveSetting üzerinden herhangi bir user_id için rastgele eski ayarları kalıcı hale getirmesine izin verir. E-posta modülündeki ayrı bir istemci tarafı sink, email_font_size ayarını kaçış karakterleri kullanmadan doğrudan JavaScript içine enjekte eder. Bu iki sorunu birleştirerek, düşük yetkili herhangi bir kimliği doğrulanmış kullanıcı, bir yöneticinin email_font_size ayarını bir JavaScript yüküyle üzerine yazabilir ve GroupOffice web istemcisi views/Extjs3/modulescripts.php dosyasını yüklediğinde yöneticinin tarayıcısında saklı XSS tetikleyebilir. Bu güvenlik açığı 26.0.25, 25.0.100 ve 6.8.165 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Intermesh groupoffice | >= 26.0.1, < 26.0.25, >= 25.0.1, < 25.0.1005, < 6.8.165 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.