CVE-2026-8496

Alinto SOGo versiya 5.12.7-də saytlararası skriptinq (XSS) zəifliyi mövcuddur. Zərərli şəkildə hazırlanmış ICS təqvim dəvət faylları autentifikasiya olunmuş SOGo veb-poçt sessiyasında ixtiyari JavaScript kodunun icrasına imkan verir. Problem ondan qaynaqlanır ki, ICS faylının təsvir sahəsinə daxil edilmiş və onrepeat hadisə idarəedicisinə malik olan SVG məzmunu veb-poçt interfeysində göstərilməzdən əvvəl kifayət qədər təmizlənmir. Uzaqdakı hücumçu zərərli təqvim dəvətinə baxıldıqda qurbanın brauzerində JavaScript kodunu icra edə bilər. Uğurlu istismar poçt qutusuna girişə, e-poçt və kontaktların oğurlanmasına, sessiyanın ələ keçirilməsinə və autentifikasiya olunmuş istifadəçiyə icazə verilən digər hərəkətlərə şərait yarada bilər.