Group-Office（グループオフィス）に保存型クロスサイトスクリプティングの脆弱性、アカウント乗っ取りのおそれ
概要
Group-Officeには、一般ユーザーが手動リマインダーに任意のHTML/JavaScriptを仕込み、ほかのユーザー(管理者を含む)に送れる保存型クロスサイトスクリプティングの脆弱性があります。通知を表示した被害者のブラウザでスクリプトが実行され、セッションを乗っ取られるおそれがあり、CVSS v4.0の基本値は8.7です。6.8.172、25.0.108、26.0.33で修正されているため、これらの修正版へ更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Group-Officeには、一般ユーザーが手動リマインダーに任意のHTML/JavaScriptを仕込み、ほかのユーザー(管理者を含む)に送れる保存型クロスサイトスクリプティングの脆弱性があります。通知を表示した被害者のブラウザでスクリプトが実行され、セッションを乗っ取られるおそれがあり、CVSS v4.0の基本値は8.7です。6.8.172、25.0.108、26.0.33で修正されているため、これらの修正版へ更新してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Group-Office is an enterprise customer relationship management and groupware tool. Prior to versions 6.8.172, 25.0.108, and 26.0.33, a low-privileged user can create manual reminders containing arbitrary HTML/JavaScript and assign them to any other user (including administrators). When the victim's browser polls for pending notifications, the payload renders unsanitized as innerHTML in the ExtJS notification panel, achieving Stored Cross-Site Scripting (XSS) leading to full Account Takeover (ATO) of the victim's session. This issue has been patched in versions 6.8.172, 25.0.108, and 26.0.33.
出典: CVE.org (CVE Program・cvelistV5) NVD