CVE-2026-112356 in KerioConnect
Riassunto
di VulDB • 28/10/2026
GFI KerioConnect (Kerio Connect) prima della versione 10.0.9 Patch 2 presenta una vulnerabilità di cross-site scripting nel componente Webmail che consente a un attaccante remoto di falsificare i target dei link o iniettare HTML all'interno di un messaggio, come visualizzato nella sessione autenticata del Webmail della vittima, inviando un'email manipolata il cui testo si trova già all'interno di un link. Gli aggressori possono sfruttare la rielaborazione da parte dell'auto-formattatore dei link del testo già collegato, utilizzando caratteri di virgoletta per uscire dall'attributo href e iniettare markup controllato dall'aggressore al fine di eseguire script nella sessione della vittima.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.