Vulnerabilidad en Horde IMP (CVE-2025-30349)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
21/03/2025
Última modificación:
03/04/2025
Descripción
Horde IMP hasta la versión 6.2.27, tal como se usa con Horde Application Framework hasta la versión 5.2.23, permite XSS que lleva al robo de cuentas a través de un mensaje de correo electrónico de texto/html manipulado con un atributo onerror (que puede usar código JavaScript codificado en base64), como se explotó en la naturaleza en marzo de 2025.
Impacto
Puntuación base 3.x
7.20
Gravedad 3.x
ALTA
Referencias a soluciones, herramientas e información
- https://github.com/horde/base/releases/tag/v5.2.23
- https://github.com/horde/imp/blob/fd9212ca3b72ff834504af4886f7d95138619bd4/doc/INSTALL.rst?plain=1#L23-L25
- https://github.com/horde/imp/blob/fd9212ca3b72ff834504af4886f7d95138619bd4/doc/INSTALL.rst?plain=1#L61-L62
- https://github.com/horde/imp/releases/tag/v6.2.27
- https://github.com/horde/webmail/releases/tag/v5.2.22
- https://github.com/natasaka/CVE-2025-30349/
- https://lists.horde.org/archives/imp/Week-of-Mon-20250317/057781.html
- https://lists.horde.org/archives/imp/Week-of-Mon-20250317/057784.html
- https://web.archive.org/web/20250321152616/https://lists.horde.org/archives/imp/Week-of-Mon-20250317/057781.html
- https://web.archive.org/web/20250321162434/https://lists.horde.org/archives/imp/Week-of-Mon-20250317/057784.html
- https://www.horde.org/apps/horde
- https://www.horde.org/apps/imp
- https://www.horde.org/download/horde
- https://lists.debian.org/debian-lts-announce/2025/04/msg00008.html