CVE-2016-7967

Wysokie

Opublikowano: 23/12/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

KMail od wersji 5.3.0 używał przeglądarki opartej na QWebEngine z włączonym JavaScript. Wygenerowany HTML jest domyślnie wykonywany w lokalnym kontekście bezpieczeństwa plików, co umożliwia dostęp do zdalnych i lokalnych adresów URL.

Ocena ryzyka

Możliwość wykonania złośliwego kodu JavaScript może prowadzić do nieautoryzowanego dostępu do danych użytkownika oraz potencjalnych ataków na system.

Rekomendacja

Zaleca się aktualizację KMail do najnowszej wersji, aby wyłączyć JavaScript lub ograniczyć dostęp do lokalnych i zdalnych adresów URL.

Inne podatności w KMail

CVE-2016-7966Wysokie
Poprzez złośliwy URL zawierający znak cudzysłowu możliwe było wstrzyknięcie kodu HTML w widoku tekstowym KMail. Parser używany w URL ogranicza możliwości wstrzykiwania, uniemożliwiając dodanie znaku równości (=) lub spacji, co znacznie ogranicza funkcjonalność HTML.

Oryginalny opis (angielski, źródło NVD)

KMail since version 5.3.0 used a QWebEngine based viewer that had JavaScript enabled. Since the generated html is executed in the local file security context by default access to remote and local URLs was enabled.