CVE-2026-112353 in KerioConnect
要約
〜によって VulDB • 2026年10月27日
GFI KerioConnect (Kerio Connect) 10.0.8 Patch 2 より前には、Webmail コンポーネントに格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在し、攻撃者はイベントハンドラ属性のサニタイズを回避するよう作成された SVG メール添付ファイルをアップロードすることで、被害者の認証済み Webmail セッション内で JavaScript を実行できます。攻撃者は、一時ダウンロードエンドポイントの不十分な Content-Security-Policy (CSP) サンドボックスを利用し、添付ファイルが開かれた際にスクリプトを実行することが可能であり、これにより被害者の資格情報やメールボックスの内容が盗み出されます。Proofpoint Threat Research によると、この脆弱性は実際に攻撃に利用されており、資格情報およびメールボックス窃盗ツールとして機能しています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.