CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2023-45800
https://notcve.org/view.php?id=CVE-2023-45800
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Hanbiro Hanbiro groupware allows Information Elicitation.This issue affects Hanbiro groupware: from V3.8.79 before V3.8.81.1. La neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando SQL ('inyección SQL') en el software colaborativo Hanbiro Hanbiro permite la obtención de información. Este problema afecta al software colaborativo Hanbiro: desde V3.8.79 antes de V3.8.81.1. • https://hanbiro.com • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 8.0EPSS: 0%CPEs: 2EXPL: 1CVE-2022-30287
https://notcve.org/view.php?id=CVE-2022-30287
Horde Groupware Webmail Edition through 5.2.22 allows a reflection injection attack through which an attacker can instantiate a driver class. This then leads to arbitrary deserialization of PHP objects. Horde Groupware Webmail Edition versiones hasta 5.2.22, permite un ataque de inyección de reflexión mediante el cual un atacante puede instanciar una clase de controlador. Esto conlleva a una deserialización arbitraria de objetos PHP • https://blog.sonarsource.com/horde-webmail-rce-via-email https://lists.debian.org/debian-lts-announce/2022/08/msg00022.html https://www.horde.org/apps/webmail • CWE-470: Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') CWE-502: Deserialization of Untrusted Data •
CVSS: 9.8EPSS: 0%CPEs: 4EXPL: 0CVE-2021-26630 – HANDY Groupware file download and execute vulnerability
https://notcve.org/view.php?id=CVE-2021-26630
Improper input validation vulnerability in HANDY Groupware’s ActiveX moudle allows attackers to download or execute arbitrary files. This vulnerability can be exploited by using the file download or execution path as the parameter value of the vulnerable function. Una vulnerabilidad de comprobación de entrada inapropiada en el módulo ActiveX de HANDY Groupware permite a atacantes descargar o ejecutar archivos arbitrarios. Esta vulnerabilidad puede ser explotada usando la ruta de descarga o ejecución de archivos como el valor del parámetro de la función vulnerable • https://www.krcert.or.kr/krcert/secNoticeView.do?bulletin_writing_sequence=66723 • CWE-20: Improper Input Validation •
CVSS: 6.1EPSS: 2%CPEs: 2EXPL: 3CVE-2021-26929 – Horde Groupware Webmail 5.2.22 - Stored XSS
https://notcve.org/view.php?id=CVE-2021-26929
An XSS issue was discovered in Horde Groupware Webmail Edition through 5.2.22 (where the Horde_Text_Filter library before 2.3.7 is used). The attacker can send a plain text e-mail message, with JavaScript encoded as a link or email that is mishandled by preProcess in Text2html.php, because bespoke use of \x00\x00\x00 and \x01\x01\x01 interferes with XSS defenses. Se detectó un problema de tipo XSS en Horde Groupware Webmail Edition versiones hasta 5.2.22 (donde es usada la biblioteca Horde_Text_Filter versiones anteriores a 2.3.7). El atacante puede enviar un mensaje de correo electrónico de texto plano, con JavaScript codificado como un enlace o correo electrónico que es manejado apropiadamente por la función preProcess en el archivo Text2html.php, porque el uso personalizado de \x00\x00\x00 y \x01\x01\x01 interfiere con las defensas de XSS Webmail Edition version 5.2.22 suffers from remote code execution and cross site scripting vulnerabilities via the Horde_Text_Filter library. • https://www.exploit-db.com/exploits/49769 http://packetstormsecurity.com/files/162187/Webmail-Edition-5.2.22-XSS-Remote-Code-Execution.html http://packetstormsecurity.com/files/162194/Horde-Groupware-Webmail-5.2.22-Cross-Site-Scripting.html https://github.com/horde/webmail/releases https://lists.debian.org/debian-lts-announce/2021/02/msg00028.html https://lists.horde.org/archives/announce/2021/001298.html https://www.alexbirnberg.com/horde-xss.html https://www.horde.org/apps/webmail • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-8035
https://notcve.org/view.php?id=CVE-2020-8035
The image view functionality in Horde Groupware Webmail Edition before 5.2.22 is affected by a stored Cross-Site Scripting (XSS) vulnerability via an SVG image upload containing a JavaScript payload. An attacker can obtain access to a victim's webmail account by making them visit a malicious URL. La funcionalidad image view en Horde Groupware Webmail Edition versiones anteriores a 5.2.22, está afectada por una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenada por medio de una carga de imagen SVG que contiene una carga útil de JavaScript. Un atacante puede obtener acceso a una cuenta de correo web de una víctima al hacer que visite una URL maliciosa. • https://github.com/horde/base/blob/c00f2fdb222055fb2ccb6d53b5b5240c0a7d2a75/docs/CHANGES https://lists.debian.org/debian-lts-announce/2020/05/msg00035.html https://lists.horde.org/archives/announce/2020/001290.html • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •