Horde IMP 4.3.6 and earlier does not request that the web browser avoid DNS prefetching of domain names contained in e-mail messages, which

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• horde impдо 4.3.6 включительно
• horde imp2.0
• horde imp2.2
• horde imp2.2.1
• horde imp2.2.2
• horde imp2.2.3
• horde imp2.2.4
• horde imp2.2.5
• horde imp2.2.6
• horde imp2.2.7
• horde imp2.2.8
• horde imp2.3
• horde imp3.0
• horde imp3.1
• horde imp3.1.2
• horde imp3.2
• horde imp3.2.1
• horde imp3.2.2
• horde imp3.2.3
• horde imp3.2.4

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2003-0025Multiple SQL injection vulnerabilities in IMP 2.2.8 and earlier allow remote attackers to perform unauthorized database activities and possi
  38Наблюдать
• CVE-2025-30349Horde IMP through 6.2.27, as used with Horde Application Framework through 5.2.23, allows XSS that leads to account takeover via a crafted t
  37Наблюдать
• CVE-2001-1257Cross-site scripting vulnerability in Horde Internet Messaging Program (IMP) before 2.2.6 and 1.2.6 allows remote attackers to execute arbit
  31Наблюдать
• CVE-2026-58451Horde IMP < 7.0.1 Path Traversal via Compose.php img src
  28Наблюдать
• CVE-2004-0584Unknown vulnerability in Horde IMP 3.2.3 and earlier, before a "security fix," does not properly validate input, which allows remote attacke
  27Наблюдать
• CVE-2002-2024Horde IMP 2.2.7 allows remote attackers to obtain the full web root pathname via an HTTP request for (1) poppassd.php3, (2) login.php3?reaso
  22Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.