CVE-2026-112353 in KerioConnect
Zusammenfassung
von VulDB • 27.10.2026
GFI KerioConnect (Kerio Connect) vor Version 10.0.8 Patch 2 enthält eine gespeiste Cross-Site-Scripting-(XSS)-Schwachstelle in der Webmail-Komponente, die es einem Remote-Angriff ermöglicht, JavaScript in einer authentifizierten Webmail-Sitzung eines Opfers auszuführen, indem ein speziell angefertigter SVG-E-Mail-Anhang hochgeladen wird, der die Sanitization von Event-Handler-Attributen umgeht. Angreifer können den unzureichenden Content-Security-Policy-(CSP)-Sandbox des Endpunkts für temporäre Downloads nutzen, um Skripte auszuführen, wenn der Anhang geöffnet wird, was Diebstahl der Anmeldeinformationen und Postfachinhalte des Opfers ermöglicht. Proofpoint Threat Research hat die Ausnutzung in freier Wildbahn als Credential- und Mailbox-Stealer beobachtet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.