Libredeskは自己ホスト型のカスタマーサポートデスクです。バージョン0.8.6-beta以前のLibredeskには、連絡先ノート機能に保存型HTMLインジェクションの脆弱性が存在していました。POST /api/v1/contacts/{id}/notes 経由でノートを追加する際、バックエンドはユーザー入力を自動的に<p>タグで囲みます。しかし、リクエストをインターセプトして<p>タグを除去すると、攻撃者はフォームや画像など任意のHTML要素を注入でき、その内容がサニタイズされずに保存・表示されます。その結果、フィッシング、CSRF風の強制アクション、UIリドレス攻撃などが発生する可能性があります。この問題はバージョン0.8.6-betaで修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。