Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 20 OCT · 10:19

CVE-2026-113583 XSS almacenado basado en DOM en Cypht vía externalResources.js

Cypht webmail 2.0.0 a 2.12.2 contiene una vulnerabilidad de cross-site scripting basada en DOM que permite a atacantes remotos ejecutar JavaScript arbitrario mediante alt text o valores de URL maliciosos en la etiqueta de imagen externa de un correo HTML cuando ALLOW_EXTERNAL_IMAGE_SOURCES está habilitado. Al abrir el correo, externalResources.js arma el aviso de imagen bloqueada con innerHTML y valores decodificados del correo, ejecutando script en la sesión autenticada de la víctima para leer buzones, enviar…

6.1MEDIA

CVSS 3.1

  • CVSS 4.05.3 · media
  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • cypht-org cypht

    desde 2.0.0 hasta antes de 2.13.0

Qué hacer

  1. Verificá si usás cypht y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.1 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosNinguno
  • Interacción del usuarioRequerida
  • AlcanceCambiado
  • ConfidencialidadBaja
  • IntegridadBaja
  • DisponibilidadNinguna

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosNinguno
  • Interacción del usuarioPasiva
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Baja
  • Integridad (sistemas posteriores)Baja
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Cypht webmail 2.0.0 through 2.12.2 contains a DOM-based cross-site scripting vulnerability that allows remote attackers to execute arbitrary JavaScript by crafting malicious alt text or URL values in an HTML email's external image tag when ALLOW_EXTERNAL_IMAGE_SOURCES is enabled. Attackers can send a specially crafted email so that when the victim opens it, the externalResources.js code builds the blocked-image notice using innerHTML with decoded email-derived values, triggering script execution in the victim's authenticated session to read mailboxes, send email, or change settings.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.