CVE-2026-73524

2.12.2 sürümü öncesindeki Cypht, contacts modülünde, uzak saldırganların FROM e-posta başlığına açılış ve kapanış köşeli ayraçları (< >) içine kötü amaçlı yükler yerleştirerek keyfi betik içeriği çalıştırmasına izin veren bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Temizleme mantığı her bir köşeli ayraç karakterinin yalnızca ilk örneğini kaldırmakta ve ek köşeli ayraçları olduğu gibi bırakmaktadır; saldırganlar bu durumu, kullanıcı mesajı açtığında ve Add Local Contacts işlevine eriştiğinde kurbanın tarayıcısında betik çalıştıran özel olarak hazırlanmış bir FROM başlığı içeren e-posta göndererek istismar etmektedir.