CVE-2020-27509
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W kliencie poczty Galaxkey Secure Mail Client do wersji 5.6.11.5 występuje trwały XSS. Atakujący może przechwycić żądanie HTTP POST podczas wysyłania wiadomości i wstrzyknąć złośliwy kod w pole 'subject', który wykona się po zalogowaniu odbiorcy.
Ocena ryzyka
Ryzyko przejęcia konta użytkownika poprzez wykonanie skryptu XSS w kontekście sesji ofiary, co może prowadzić do kradzieży danych lub nieautoryzowanych działań.
Rekomendacja
Należy niezwłocznie zaktualizować Galaxkey Secure Mail Client do wersji nowszej niż 5.6.11.5, która zawiera poprawkę eliminującą podatność na XSS.
Oryginalny opis (angielski, źródło NVD)
Persistent XSS in Galaxkey Secure Mail Client in Galaxkey up to 5.6.11.5 allows an attacker to perform an account takeover by intercepting the HTTP Post request when sending an email and injecting a specially crafted XSS payload in the 'subject' field. The payload executes when the recipient logs into their mailbox.