Программа просмотра AppleDouble MIME от Horde IMP записывает имя вложения, контролируемого злоумышленником, в блок состояния HTML, не экранируя его. В lib/Mime/Viewer/Appledouble.php _IMPRender() получает имя части данных с помощью IMP_Contents::getPartName(), который возвращает собственный параметр имени части MIME, предоставленный сообщением, и передает его через sprintf в текст объекта IMP_Mime_Status. IMP_Mime_Status::__toString() объединяет каждую текстовую запись непосредственно с разметкой окружающей таблицы, поэтому значение дословно достигает отображаемой страницы.
Сообщение, созданное как multipart/appleouble, часть данных которого содержит разметку в параметре имени, поэтому выполняет сценарий в контексте любого пользователя, который его просматривает, а полезные данные сохраняются в почтовом ящике. Для эксплуатации не требуется учетная запись в целевой системе, а только возможность отправлять почту пользователю. Версия 7.2.0 экранирует значение с помощью htmlspecialchars().
Исследователь также связывает эту уязвимость с произвольным чтением файла CVE-2026-58451 и сообщает, что сценарий, запущенный в сеансе администратора, может достичь пути выполнения кода приложения.
Показать оригинальное описание (EN)
Horde IMP's AppleDouble MIME viewer writes an attacker-controlled attachment name into an HTML status block without escaping it. In lib/Mime/Viewer/Appledouble.php, _IMPrender() obtains the name of the data part with IMP_Contents::getPartName(), which returns the MIME part's own name parameter as supplied by the message, and passes it through sprintf into the text of an IMP_Mime_Status object. IMP_Mime_Status::__toString() concatenates each text entry directly into the surrounding table markup, so the value reaches the rendered page verbatim. A message crafted as multipart/appledouble whose data part carries markup in its name parameter therefore executes script in the context of any user who views it, and the payload persists in the mailbox. Exploitation requires no account on the target system, only the ability to send mail to a user. Version 7.2.0 escapes the value with htmlspecialchars(). The researcher additionally chains this flaw with the arbitrary file read of CVE-2026-58451, and reports that script running in an administrator's session can reach an application code-execution path.
Характеристики атаки
Последствия
Строка CVSS v4.0