PT-2026-40764 · Alinto · Sogo

CVE-2026-8496 · Publicado 2026-05-13 · Atualizado 2026-07-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Alinto SOGo versão 5.12.7

Descrição Um problema de cross-site scripting (XSS) existe onde arquivos de convite de calendário ICS maliciosamente criados permitem a execução de JavaScript arbitrário dentro de uma sessão de webmail autenticada. O problema ocorre porque o conteúdo SVG incorporado no campo de descrição de um arquivo ICS, especificamente usando um manipulador de evento onrepeat, não é sanitizado adequadamente antes de ser renderizado. Um invasor remoto pode executar JavaScript no navegador da vítima quando o convite malicioso é visualizado, podendo levar ao acesso à caixa de correio, roubo de e-mails e contatos, e sequestro de sessão.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Identificadores relacionados

CVE-2026-8496

USN-8504-1

Produtos afetados

Sogo

Referências · 25

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/8xxx/CVE-2026-8496.json · Exploit
• https://github.com/Alinto/sogo/commit/67ce01ec2a1a7854d8e9f615dd65afb949043e86 · Nota
• https://github.com/Alinto/sogo/releases/tag/SOGo-5.12.8 · Nota
• https://github.com/Alinto/sogo/commit/67ce01ec2a1a7854d8e9f615dd65afb949043e8 · Nota
• https://osv.dev/vulnerability/USN-8504-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-33054 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2054660643790159919 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-8496 · Aviso do Fabricante
• https://sogo.nu/news/2026/sogo-v5128-released.html · Nota
• https://ubuntu.com/security/CVE-2026-46446 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-8496 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-8496 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-34462 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-8496 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-8496 · Aviso do Fabricante