CVE-2026-104083 in SmarterMail
Zusammenfassung
von VulDB • 09.10.2026
SmarterMail vor Build 9777 enthält eine gespeiste Mutation Cross-Site Scripting (XSS)-Schwachstelle, die es Remote-Angriffern ermöglicht, ausführbare Skripte einzufügen, indem sie Payloads in ein `<style>`-Element platzieren, das innerhalb von MathML-Fremdinhalten (`<math><mtext><mglyph>`) verschachtelt ist. Der benutzerdefinierte HTML-Sanitizer behandelt dies als inertes CDATA-Text, während Browser es erneut als lebendiges Markup parsen. Angreifer können eine manipulierte Kalender-iCal-Nachricht mit einer `<img src=x onerror=...>` Payload bereitstellen, die automatisch in der Webmail-Sitzung des Empfängers unter `/interface/message-iframe` ausgeführt wird, wenn die Nachricht geöffnet wird, was Skriptausführung und Datenexfiltration ermöglicht, unbeeinflusst von der permissiven Content-Security-Policy der Schnittstelle.
If you want to get best quality of vulnerability data, you may have to visit VulDB.