PMG: XSS in filename display in attachment quarantine
Betroffene Pakete
pmg-gui
Details
The filename field in the AttachementGrid component shown in the Attachment Quarantine view takes its data from the Content-Disposition header of the quarantined mail. The display field was not HTML-encoded allowing for an attacker to launch an XSS attack by sending a mail with prepared attachments.
The issue was privately reported by Điềm from VNPT-VCI.
Behoben in
- pmg-gui >= 5.2.3
Diese Seite ist eine inoffizielle Kopie des offiziellen Beitrags im Proxmox-Forum (öffnet in neuem Tab). Prüfe vor jeder Maßnahme das Original. Der Text des Advisories wird so auf Englisch angezeigt, wie Proxmox ihn veröffentlicht hat.