CVE-2026-8496
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność cross-site scripting (XSS) w Alinto SOGo w wersji 5.12.7. Złośliwie przygotowane pliki zaproszeń kalendarza ICS umożliwiają wykonanie dowolnego JavaScriptu w uwierzytelnionej sesji webmail SOGo. Problem występuje, ponieważ zawartość SVG osadzona w polu opisu pliku ICS z procedurą obsługi zdarzenia onrepeat jest niewystarczająco oczyszczana przed renderowaniem w interfejsie webmail. Zdalny atakujący może wykonać JavaScript w przeglądarce ofiary, gdy złośliwe zaproszenie kalendarza zostanie wyświetlone. Udane wykorzystanie może umożliwić dostęp do skrzynki pocztowej, kradzież e-maili i kontaktów, przejęcie sesji i inne działania dozwolone dla uwierzytelnionego użytkownika.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, uzyskać dostęp do poufnych danych pocztowych i kontaktów, co może prowadzić do naruszenia prywatności i dalszych ataków.
Rekomendacja
Zaleca się aktualizację Alinto SOGo do wersji nowszej niż 5.12.7, która zawiera poprawki sanityzacji zawartości SVG, oraz zachowanie ostrożności przy otwieraniu zaproszeń kalendarza z nieznanych źródeł.
Inne podatności w Alinto SOGo
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability exists in Alinto SOGo, version 5.12.7. A maliciously crafted ICS calendar invitation files allows arbitrary JavaScript execution within the authenticated SOGo webmail session. The issue occurs because SVG content embedded in the description field of an ICS file, with an onrepeat event handler, is insufficiently sanitized before being rendered in the webmail interface. A remote attacker can execute JavaScript in the victim's browser when the malicious calendar invite is viewed. Successful exploitation may allow mailbox access, email and contact theft, session hijacking, and other actions allowed by an authenticated user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS