CVE-2016-7966

Wysokie

Opublikowano: 23/12/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Poprzez złośliwy URL zawierający znak cudzysłowu możliwe było wstrzyknięcie kodu HTML w widoku tekstowym KMail. Parser używany w URL ogranicza możliwości wstrzykiwania, uniemożliwiając dodanie znaku równości (=) lub spacji, co znacznie ogranicza funkcjonalność HTML.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do ukrycia złośliwego kodu w wiadomościach e-mail, co może prowadzić do nieautoryzowanego dostępu do danych użytkowników.

Rekomendacja

Zaleca się aktualizację KMail do najnowszej wersji, aby zminimalizować ryzyko związane z tą podatnością oraz monitorowanie wiadomości e-mail pod kątem podejrzanych linków.

Inne podatności w KMail

CVE-2016-7967Wysokie
KMail od wersji 5.3.0 używał przeglądarki opartej na QWebEngine z włączonym JavaScript. Wygenerowany HTML jest domyślnie wykonywany w lokalnym kontekście bezpieczeństwa plików, co umożliwia dostęp do zdalnych i lokalnych adresów URL.

Oryginalny opis (angielski, źródło NVD)

Through a malicious URL that contained a quote character it was possible to inject HTML code in KMail's plaintext viewer. Due to the parser used on the URL it was not possible to include the equal sign (=) or a space into the injected HTML, which greatly reduces the available HTML functionality. Although it is possible to include an HTML comment indicator to hide content.