CVE-2026-104083

Build 9777 öncesindeki SmarterMail, uzak saldırganların MathML yabancı içeriği (<math><mtext><mglyph>) içine yerleştirilmiş bir <style> öğesi içerisine yükler (payload) yerleştirerek yürütülebilir betikler enjekte etmesine olanak tanıyan saklı bir mutasyon siteler arası betik çalıştırma (XSS) zafiyeti içermektedir; özel HTML temizleyici bu içeriği etkisiz CDATA metni olarak değerlendirirken tarayıcılar bunu canlı işaretleme olarak yeniden ayrıştırmaktadır. Saldırganlar, mesaj açıldığında alıcının /interface/message-iframe adresindeki webmail oturumunda otomatik olarak çalışan ve <img src=x onerror=...> yükü içeren hazırlanmış bir takvim (iCal) mesajı iletebilir; bu durum, arayüzün izin verici Content-Security-Policy kısıtlamalarına takılmadan betik çalıştırılmasına ve veri sızdırılmasına imkan tanır.