CVE-2025-63499

ŚrednieCVSS 6.1

Opublikowano: 04/12/2025(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Alinto Sogo w wersji 5.12.3 jest podatne na ataki typu Cross Site Scripting (XSS) poprzez parametr theme. Podatność pozwala na wstrzyknięcie złośliwego kodu skryptowego.

Ocena ryzyka

Atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych logowania.

Rekomendacja

Zaktualizuj Alinto Sogo do najnowszej wersji, która naprawia tę podatność, lub wdroż filtrowanie danych wejściowych dla parametru theme.

Inne podatności w Alinto Sogo

CVE-2026-8496Średnie
Podatność cross-site scripting (XSS) w Alinto SOGo w wersji 5.12.7. Złośliwie przygotowane pliki zaproszeń kalendarza ICS umożliwiają wykonanie dowolnego JavaScriptu w uwierzytelnionej sesji webmail SOGo. Problem występuje, ponieważ zawartość SVG osadzona w polu opisu pliku ICS z procedurą obsługi zdarzenia onrepeat jest niewystarczająco oczyszczana przed renderowaniem w interfejsie webmail. Zdalny atakujący może wykonać JavaScript w przeglądarce ofiary, gdy złośliwe zaproszenie kalendarza zostanie wyświetlone. Udane wykorzystanie może umożliwić dostęp do skrzynki pocztowej, kradzież e-maili i kontaktów, przejęcie sesji i inne działania dozwolone dla uwierzytelnionego użytkownika.

Oryginalny opis (angielski, źródło NVD)

Alinto Sogo 5.12.3 is vulnerable to Cross Site Scripting (XSS) via the theme parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS