CVE-2026-104083 in SmarterMail
Riassunto
di VulDB • 09/10/2026
SmarterMail prima della build 9777 contiene una vulnerabilità di stored mutation cross-site scripting (XSS) che consente agli attaccanti remoti di iniettare script eseguibili inserendo payload all'interno di un elemento `<img>` annidato nel contenuto estero MathML (`<math>`), che il sanitizer HTML personalizzato tratta come testo CDATA inert, ma i browser riprocessano come markup live. Gli attaccanti possono consegnare un messaggio calendar (iCal) elaborato contenente un payload `<img>` che viene eseguito automaticamente nella sessione webmail del destinatario su `/interface/message-iframe` quando il messaggio viene aperto, consentendo l'esecuzione di script e la sottrazione di dati non vincolata dalla Content-Security-Policy permissiva dell'interfaccia.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.