CVE-2026-8496

Nome do Software Vulnerável e Versões Afetadas Alinto SOGo versão 5.12.7

Description Um problema de cross-site scripting (XSS) existe onde arquivos de convite de calendário ICS maliciosamente criados permitem a execução de JavaScript arbitrário dentro de uma sessão de webmail autenticada. O problema ocorre porque o conteúdo SVG incorporado no campo de descrição de um arquivo ICS, utilizando um manipulador de evento onrepeat, não é suficientemente sanitizado antes de ser renderizado na interface. Um invasor remoto pode executar scripts no navegador da vítima quando o convite é visualizado, podendo levar ao sequestro de sessão, acesso à caixa de correio e roubo de e-mails e contatos.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.