یک آسیب‌پذیری امنیتی از نوع Stored Cross-Site Scripting (XSS) در نرم‌افزار ITFlow شناسایی شده است که امکان اجرای کدهای مخرب در مرورگر کاربران سطح دسترسی بالا (مدیران و تکنسین‌ها) را فراهم می‌کند. این نقص امنیتی با شناسه CVE-2026-97735 و امتیاز شدت 8.0 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این مشکل در بخش تجزیه‌کننده ایمیل‌های ورودی (cron/ticket_email_parser.php) وجود دارد. مهاجم می‌تواند از طریق ارسال یک ایمیل حاوی فایل ضمیمه SVG مخرب، کد JavaScript را در سیستم تزریق کند. از آنجایی که این فایل‌ها به صورت Inline در مرورگر رندر می‌شوند، هر کاربر دارای دسترسی Staff که این ضمیمه را باز کند، با اجرای کد در سطح دسترسی (Session) خود مواجه خواهد شد.
شرایط بهره‌برداری (Attack Vector)
- دسترسی: مهاجم نیازی به احراز هویت ندارد (Unauthenticated) و می‌تواند از طریق SMTP ایمیل ارسال کند.
- تعامل کاربر: برای فعال شدن حمله، یک کاربر مدیر یا تکنسین باید فایل SVG ضمیمه شده را باز کند (UI:R).
- دامنه اثر: تمامی نسخه‌های ITFlow پیش از نسخه 26.08 تحت تأثیر این آسیب‌پذیری هستند.
توصیه‌های امنیتی و مقابله
به مدیران SOC و مهندسان امنیت توصیه می‌شود اقدامات زیر را در سریع‌ترین زمان ممکن اجرا کنند:
- بررسی موجودی: شناسایی تمامی نمونه‌های نصب شده ITFlow و بررسی فعال بودن خط لوله دریافت ایمیل (Email-ingestion pipeline).
- محدودسازی SMTP: در صورتی که دریافت ایمیل از منابع خارجی حیاتی نیست، دسترسی SMTP ورودی را غیرفعال یا تنها به دامنه‌های مورد اعتماد محدود کنید.
- فیلترینگ ضمیمات: در سطح Mail Gateway، فایل‌های SVG را قرنطینه یا حذف کنید.
- آموزش کاربران: به تکنسین‌ها و مدیران هشدار داده شود که از باز کردن ضمیمات SVG در تیکت‌های مشکوک خودداری کنند.
