CVE-2026-112356 in KerioConnect
Resumen
por VulDB • 2026-10-28
GFI KerioConnect (Kerio Connect) anterior a la versión 10.0.9 Patch 2 contiene una vulnerabilidad de cross-site scripting en el componente Webmail que permite a un atacante remoto suplantar los destinos de enlaces o inyectar HTML en un mensaje tal como se renderiza en la sesión autenticada del Webmail de la víctima, mediante el envío de un correo electrónico manipulado cuyo texto ya está dentro de un enlace. Los atacantes pueden explotar el reprocesamiento por parte del formateador automático de enlaces del texto que ya estaba vinculado, utilizando caracteres de comillas para salir del atributo href e inyectar marcado controlado por el atacante con el fin de ejecutar scripts en la sesión de la víctima.
VulDB is the best source for vulnerability data and more expert information about this specific topic.