CVE-2016-7966
Publiée le 2016-12-23 · Dernière modification le 2026-06-17
Les utilisateurs de KMail sont affectés par une faille dans le visionneur de texte brut qui permet à un attaquant d'injecter du code HTML limité via une URL malveillante. Un attaquant peut utiliser cela pour manipuler l'affichage du contenu ou masquer des informations, bien que la capacité d'exécuter des scripts complexes soit restreinte par l'analyseur syntaxique. Cela peut être déclenché à distance sans authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Through a malicious URL that contained a quote character it was possible to inject HTML code in KMail's plaintext viewer. Due to the parser used on the URL it was not possible to include the equal sign (=) or a space into the injected HTML, which greatly reduces the available HTML functionality. Although it is possible to include an HTML comment indicator to hide content.