SMTP Command Injection in iCalendar Attachments to Emails via Newlines
该报告还没有中文解读。
原文摘录
摘自原文（5047 字符中的一小部分）
Note: This is similar to {1509216}, but has a new source/attack vector. Apologies for not picking this up earlier.原文中的代码
PUT /remote.php/dav/calendars/nextcloud/personal/██████.ics HTTP/2 Host: 192.168.92.132 BEGIN:VCALENDAR PRODID:-//Nextcloud Mail BEGIN:VTIMEZONE TZID:Asia/Singapore BEGIN:STANDARD TZOFFSETFROM:+0800 TZOFFSETTO:+0800 TZNAME:+08 DTSTART:19700101T000000 END:STANDARD END:VTIMEZONE BEGIN:VEVENT …
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Nextcloud 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @spaceraccoon · 版权归作者与 Nextcloud 所有