Alex Birnberg 在 Horde 應用程式架構 (更確切地說是其 Text Filter API) 中發現一個跨網站指令碼 (XSS) 弱點。
攻擊者可藉由傳送特製的電子郵件來控制使用者的信箱。

CVE-2021-26929

在 Horde Groupware Webmail 版 (使用 Horde_Text_Filter 程式庫) 中發現一個 XSS 問題。攻擊者可傳送純文字電子郵件訊息，並使用 JavaScript 將訊息編碼為 Text2html.php 中的 preProcess 會錯誤處理的連結或電子郵件，因為自訂使用 \x00\x00\x00 和 \x01\x01\x01 會干擾 XSS 防禦。

針對 Debian 9 Stretch，已在 2.3.5-1+deb9u1 版本中修正此問題。

建議您升級 php-horde-text-filter 套件。

如需有關 php-horde-text-filter 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/php-horde-text-filter

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2564-1：php-horde-text-filter 安全性更新

medium Nessus Plugin ID 146700

版本 1.4