PMG: XSS in content-type display in quarantine views
Betroffene Pakete
pmg-gui
Details
The Filetype field in the AttachementGrid component shown in the quarantine views takes the data from the Content-Type header of the quarantined mail. The display field was not HTML-encoded allowing for an attacker to launch an XSS attack by sending a mail with prepared attachments.
The issue was found internally.
Behoben in
pmg-gui (>= 5.2.4)
Referenzen
- PSA-2026-00048-1 was about a similar issue
Diese Seite gibt den Inhalt des offiziellen Beitrags im Proxmox-Forum (öffnet in neuem Tab) wieder. Maßgeblich ist das Original. Der Text des Advisories wird so auf Englisch angezeigt, wie Proxmox ihn veröffentlicht hat.