パッチが適用されていないバグにより、Horde Webメールアカウント、サーバー、CatalinCimpanuの乗っ取りが可能になります

https://therecord.media/unpatched-bug-allows-takeover-of-horde-webmail-accounts-servers/
Hordeを使用してブラウザで電子メールを表示する企業は、Webメールアプリケーションのデフォルト設定を変更して、今日開示され、Hordeチームによってまだパッチが適用されていない危険な脆弱性を使用して電子メールアカウントが乗っ取られるのを防ぐことをお勧めします。
SonarSourceの脆弱性研究者であるSimonScannellによって発見されたこの脆弱性は、2012年後半からHorde Webメールアプリに存在し、OpenOfficeドキュメントを取得してブラウザウィンドウ内に表示するプレビューを作成する機能に存在します。
Scannellは本日公開されたレポートで、攻撃者がOpenOfficeドキュメントに悪意のあるXMLコードを追加し、この変換がどのように行われるかを悪用して、ユーザーのHorde受信ボックス内で実行されると悪意のあるコマンドを実行する可能性があると述べました。
この脆弱性は、保存されたクロスサイトスクリプティング（XSS）の問題として分類され、攻撃者がユーザーの受信トレイを取得したり、アカウント設定を変更したりする可能性があります。
「攻撃者がパーソナライズされた悪意のある電子メールで管理者を標的にすることに成功した場合、攻撃者はこの特権アクセスを悪用してWebメールサーバー全体を乗っ取る可能性があります」とScannell氏も付け加えました。
Scannellは、昨年8月にHordeプロジェクトに連絡しようと努力したにもかかわらず、メンテナは研究者と連絡を取り合うことができず、パッチの可能性についてのフォローアップメールに返信しておらず、この脆弱性は執筆時点でパッチが適用されていないままであると述べました。