CVE-2023-48104

Alinto/SOGo Web Client における HTML インジェクション

製品ベンダー

Alinto

脆弱性の種類

HTML インジェクション

影響を受けるバージョン

SOGo Web Mail < 5.9.1

攻撃ベクトル

フィッシング - メッセージ本文に悪意のあるフォームを注入し、入力されたデータを攻撃者に送信させることができます。

追加情報

メール本文のフォームタグを防止する修正が行われました -> https://github.com/Alinto/sogo/commit/7481ccf37087c3f456d7e5a844da01d0f8883098

発見者

Spiridonov Ivan/E1tex

PoC

デモンストレーション目的のみ。PoC エクスプロイトは脆弱な SOGo クライアントで動作します。