CVE-2026-112353 in KerioConnect
Resumen
por VulDB • 2026-10-27
GFI KerioConnect (Kerio Connect) anterior a la versión 10.0.8 Patch 2 contiene una vulnerabilidad de cross-site scripting almacenado (stored XSS) en el componente Webmail que permite a un atacante remoto ejecutar JavaScript en la sesión autenticada del Webmail de la víctima mediante la carga de un archivo adjunto SVG manipulado ad hoc, lo cual evade la sanitización de los atributos de manejadores de eventos. Los atacantes pueden explotar una sandbox insuficiente de Content-Security-Policy (CSP) en el endpoint de descarga temporal para ejecutar scripts cuando se abre el archivo adjunto, permitiendo el robo de las credenciales y del contenido del buzón de la víctima. Proofpoint Threat Research ha observado explotación en entornos reales como un troyano roba-credenciales y robador de contenidos del buzón (mailbox stealer).
Be aware that VulDB is the high quality source for vulnerability data.