CVE-2026-112356

ŚrednieCVSS 6.1

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

GFI KerioConnect przed wersją 10.0.9 Patch 2 zawiera podatność cross-site scripting w komponencie Webmail, która pozwala zdalnemu atakującemu podszyć się pod cele linków lub wstrzyknąć HTML do wiadomości renderowanej w uwierzytelnionej sesji Webmail ofiary poprzez wysłanie spreparowanego e-maila, którego tekst znajduje się już wewnątrz linku. Atakujący wykorzystuje ponowne przetwarzanie już podlinkowanego tekstu przez auto-formater linków, używając znaków cudzysłowu do wyjścia z atrybutu href i wstrzyknięcia kontrolowanego znacznika w celu wykonania skryptu w sesji ofiary.

Ocena ryzyka

Atakujący może wykonać dowolny skrypt w kontekście sesji ofiary, co może prowadzić do kradzieży danych uwierzytelniających, przejęcia konta lub modyfikacji treści wiadomości. Ryzyko dotyczy wszystkich użytkowników Webmail, którzy otworzą spreparowanego e-maila.

Rekomendacja

Zaktualizuj KerioConnect do wersji 10.0.9 Patch 2 lub nowszej. Poinformuj użytkowników o ryzyku otwierania podejrzanych e-maili i rozważ wdrożenie dodatkowych filtrów antyspamowych.

Inne podatności w KerioConnect

CVE-2026-112353Wysokie
GFI KerioConnect przed wersją 10.0.8 Patch 2 zawiera podatność stored XSS w komponencie Webmail. Atakujący może przesłać spreparowany załącznik SVG w wiadomości e-mail, który omija sanityzację atrybutów obsługi zdarzeń, a następnie wykonać JavaScript w uwierzytelnionej sesji ofiary. Exploit jest aktywnie wykorzystywany w celu kradzieży poświadczeń i zawartości skrzynki.

Oryginalny opis (angielski, źródło NVD)

GFI KerioConnect (Kerio Connect) before 10.0.9 Patch 2 contains a cross-site scripting vulnerability in the Webmail component that allows a remote attacker to spoof link targets or inject HTML into a message as rendered in a victim's authenticated Webmail session by sending a crafted email whose text is already inside a link. Attackers can exploit the link auto-formatter's re-processing of already-linked text, using quote characters to break out of the href attribute and inject attacker-controlled markup to execute script in the victim's session.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS