CVE-2021-21333
HTML injection in email and account expiry notifications
En resumen
Synapse envía correos de notificación que no escapan correctamente HTML, permitiendo que atacantes inyecten código malicioso en notificaciones de mensajes perdidos. Esto podría engañar a usuarios haciéndolos hacer clic en enlaces dañinos o creer en mensajes falsos.
Detalle técnico
Vulnerabilidad de inyección HTML (CWE-74) en las plantillas de correo de Synapse afecta alertas de mensajes perdidos donde la entrada del usuario no se sanitiza antes de renderizar en contexto HTML. El ataque requiere que un atacante elabore mensajes con payloads HTML; las notificaciones de expiración de cuenta se ven afectadas pero no explotables ya que la característica está deshabilitada por defecto.
Resumen generado y traducido por IA a partir de la descripción oficial.
Synapse is a Matrix reference homeserver written in python (pypi package matrix-synapse). Matrix is an ecosystem for open federated Instant Messaging and VoIP. In Synapse before version 1.27.0, the notification emails sent for notifications for missed messages or for an expiring account are subject to HTML injection. In the case of the notification for missed messages, this could allow an attacker to insert forged content into the email. The account expiry feature is not enabled by default and the HTML injection is not controllable by an attacker. This is fixed in version 1.27.0.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:H/A:N
Productos afectados
matrix-org · synapse¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →Referencias
https://github.com/matrix-org/synapse/commit/e54746bdf7d5c831eabe4dcea76a7626f1de73dfhttps://github.com/matrix-org/synapse/pull/9200https://github.com/matrix-org/synapse/releases/tag/v1.27.0https://github.com/matrix-org/synapse/security/advisories/GHSA-c5f8-35qr-q4fmhttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TNNAJOZNMVMXM6AS7RFFKB4QLUJ4IFEY/