Уязвимость кросс-сайтов (XSS) существует в Alinto SOGo, версия 5.12.7. Злоумышленно созданные файлы приглашения к календарю ICS позволяют п…

Уязвимость кросс-сайтов (XSS) существует в Alinto SOGo, версия 5.12.7. Злоумышленно созданные файлы приглашения к календарю ICS позволяют произвольное выполнение JavaScript в аутентифицированной сессии веб-почты SOGo. Проблема возникает потому, что контент SVG, встроенный в поле описания файла ICS, с повторно используемым обработчиком событий, недостаточно дезинфицируется, прежде чем отображаться в интерфейсе веб-почты. Удаленный злоумышленник может выполнить JavaScript в браузере жертвы при просмотре вредоносного календаря. Успешная эксплуатация может позволить доступ к почтовому ящику, кражу электронной почты и контактам, угон сеансов и другие действия, разрешенные аутентифицированным пользователем.