Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el visor de texto plano de KMail (CVE-2016-7966)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-94 Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
23/12/2016
Última modificación:
12/04/2025

Descripción

A través de una URL maliciosa que contenía un caracter de comillas era posible inyectar código HTML en el visor de texto plano de KMail. Debido al analizador utilizado en la URL no fue posible incluir el signo igual (=) o un espacio dentro del HTML inyectado, lo que reduce enormemente la funcionalidad HTML disponible. Aunque es posible incluir un comentario indicador de HTML para ocultar el contenido.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:kde:kmail:*:*:*:*:*:*:*:* 4.4.0 (incluyendo)
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:25:*:*:*:*:*:*:*
cpe:2.3:o:suse:linux_enterprise:12.0:*:*:*:*:*:*:*