Group-Office（グループオフィス）に保存型クロスサイトスクリプティングの脆弱性、アカウント乗っ取りのおそれ
Summary
Group-Officeには、一般ユーザーが手動リマインダーに任意のHTML/JavaScriptを仕込み、ほかのユーザー(管理者を含む)に送れる保存型クロスサイトスクリプティングの脆弱性があります。通知を表示した被害者のブラウザでスクリプトが実行され、セッションを乗っ取られるおそれがあり、CVSS v4.0の基本値は8.7です。6.8.172、25.0.108、26.0.33で修正されているため、これらの修正版へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Group-Officeには、一般ユーザーが手動リマインダーに任意のHTML/JavaScriptを仕込み、ほかのユーザー(管理者を含む)に送れる保存型クロスサイトスクリプティングの脆弱性があります。通知を表示した被害者のブラウザでスクリプトが実行され、セッションを乗っ取られるおそれがあり、CVSS v4.0の基本値は8.7です。6.8.172、25.0.108、26.0.33で修正されているため、これらの修正版へ更新してください。
Original description The description as published by the source.
Group-Office is an enterprise customer relationship management and groupware tool. Prior to versions 6.8.172, 25.0.108, and 26.0.33, a low-privileged user can create manual reminders containing arbitrary HTML/JavaScript and assign them to any other user (including administrators). When the victim's browser polls for pending notifications, the payload renders unsanitized as innerHTML in the ExtJS notification panel, achieving Stored Cross-Site Scripting (XSS) leading to full Account Takeover (ATO) of the victim's session. This issue has been patched in versions 6.8.172, 25.0.108, and 26.0.33.
Source: CVE.org (CVE Program・cvelistV5) NVD