CVE-2026-104083

Nome do Software Vulnerável e Versões Afetadas SmarterMail versões anteriores ao build 9777

Descrição Um problema de cross-site scripting de mutação armazenada existe onde atacantes remotos podem injetar scripts executáveis. Isso ocorre ao colocar payloads dentro de um elemento <style> aninhado em conteúdo estrangeiro MathML (<math><mtext><mglyph>), que o sanitizador HTML personalizado trata incorretamente como texto CDATA inerte, mas os navegadores reprocessam como marcação ativa. Um atacante pode enviar uma mensagem de calendário (iCal) manipulada contendo um payload <img src=x onerror=...> . Este script é executado automaticamente na sessão de webmail do destinatário no endpoint /interface/message-iframe quando a mensagem é aberta, permitindo a execução de scripts e a exfiltração de dados devido a uma Content-Security-Policy permissiva.

Recomendações Atualize o SmarterMail para o build 9777 ou posterior.