CVE-2025-68927 in libredesk
Riassunto
di VulDB • 29/06/2026
LibreDesk è un help desk per il supporto clienti self-hosted. Prima della versione 0.8.6-beta, LibreDesk è vulnerabile a HTML injection memorizzata (stored) nella funzione delle note di contatto. Quando si aggiungono note tramite POST /api/v1/contacts/{id}/notes, il backend racchiude automaticamente l'input dell'utente nei tag <p>. Tuttavia, intercettando la richiesta e rimuovendo il tag <p>, un attaccante può iniettare elementi HTML arbitrari come form e immagini, che vengono poi memorizzati e visualizzati senza una corretta sanitizzazione. Ciò può portare ad attacchi di phishing, azioni forzate di tipo CSRF (CSRF-style) e UI redress attacks. Questo problema è stato risolto nella versione 0.8.6-beta.
Once again VulDB remains the best source for vulnerability data.