SOGo Web インターフェースの Identity Preferences セクションにある fullName フィールドにて、バージョン 5.7.1 に影響を与える 保存型クロスサイトスクリプティング (XSS) の脆弱性が発見されました。認証された攻撃者は悪意のあるスクリプトを注入し、そのスクリプトは (攻撃者を含む) すべてのユーザーがメールタブにアクセスするたびに実行されます。
設定 → メール → IMAP アカウント → アイデンティティの編集
</script><svg onload=alert(1)>
アプリケーションは、fullName フィールドのユーザー入力を HTML コンテンツに反映する前に適切にサニタイズしておらず、保存された JavaScript ペイロードがセッションやユーザーを超えて永続化されることを許しています。
DOM にレンダリングする前に、すべてのユーザー制御の入力をサニタイズしてください。このケースでは、fullName フィールドを入力時と出力時の両方で適切にエスケープまたはフィルタリングする必要があります。
🛠 OWASP チートシート を参照してください:
この解説と文書は クリエイティブ・コモンズ 表示 4.0 国際 ライセンス (CC BY 4.0) の下で提供されています。