Veille sécuritéFrontend
P4Moyenne
Cypht webmail présente une XSS basée sur le DOM lorsqu’un message HTML contient des valeurs alt ou URL malveillantes dans une image externe et que ALLOW_EXTERNAL_IMAGE_SOURCES est activé. Les versions 2.0.0 à 2.12.2 sont concernées ; l’ouverture du message peut exécuter du JavaScript dans la session de l’utilisateur.
JavaScript
IdentifiantCVE-2026-113583
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : CVE-2026-113583 — NVD
Analyse technique
externalResources.js construit le message d’image bloquée avec innerHTML à partir de valeurs issues du courriel.
Impact, versions et correctif
Événement datéLa fiche CVE/NVD indique une publication le 2026-10-20 à 12:17:29 UTC, soit 14:17:29.900+02:00, dans la période demandée.
ImpactUne fois le message ouvert, le JavaScript exécuté peut agir dans la session webmail, notamment accéder aux boîtes ou modifier des paramètres.
Versions affectées2.0.0–2.12.2
ContournementDésactiver ALLOW_EXTERNAL_IMAGE_SOURCES si cette fonctionnalité n’est pas nécessaire.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-20T14:17:29.900+02:00
Mise à jour2026-10-20T22:11:29.833+02:00
Sources
Priorisation DFS : P4 · 1 source(s).