CVE-2026-93405: Stored XSS в быстром предпросмотре вложений Mailspring
В почтовом клиенте Mailspring до версии 1.17.0 обнаружена уязвимость хранимого XSS в механизме быстрого предпросмотра вложений. При открытии специально подготовленного файла Markdown, DOCX или XLSX в контексте рендерера предпросмотра выполняется внедрённый скрипт. Уязвимость оценена как средняя (CVSS 6.1) и исправлена в версии 1.17.0.
Подробности
Уязвимость присутствует в Mailspring версий до 1.17.0. Механизм быстрого предпросмотра конвертирует вложения форматов Markdown, DOCX и XLSX в HTML с помощью библиотек Snarkdown, Mammoth и SheetJS соответственно. Полученная разметка вставляется в документ предпросмотра через свойство innerHTML без какой-либо санитизации. Это позволяет удалённому отправителю создать поддерживаемое вложение, конвертированный HTML которого выполнит произвольный скрипт в момент, когда получатель откроет быстрый предпросмотр. Поскольку вставка происходит без очистки, вредоносные конструкции (например, обработчики событий или теги script) не отфильтровываются. Сам по себе рендерер предпросмотра не имеет прямого доступа к Node.js или Electron, однако внедрённый скрипт способен обратиться к поверхности IPC, экспонированной в рендерер быстрого предпросмотра. Таким образом, данная уязвимость обеспечивает выполнение скрипта в контексте рендерера предпросмотра. Для описанной цепочки постоянного выполнения кода требуются дополнительные уязвимости — обход путей (path traversal) и контролируемая рендерером запись файлов. В отрыве от них CVE-2026-93405 даёт именно исполнение скрипта в рендерере предпросмотра. Проблема устранена в версии 1.17.0.Что делать
Основная рекомендация — обновить Mailspring до версии 1.17.0 или более поздней. Именно в этой версии разработчик устранил отсутствие санитизации при конвертации вложений. Если обновление по каким-то причинам невозможно, следует рассмотреть временные меры: воздержаться от открытия быстрого предпросмотра для вложений Markdown, DOCX и XLSX, полученных из недоверенных источников, и информировать пользователей о риске. Также полезно ограничить круг отправителей, чьи вложения автоматически попадают в предпросмотр. Эти меры снижают вероятность эксплуатации, но не заменяют установку исправления. Итог: уязвимость CVE-2026-93405 — это хранимый XSS в быстром предпросмотре вложений Mailspring, вызванный вставкой несанитизированного HTML через innerHTML после конвертации Markdown, DOCX и XLSX. Несмотря на средний уровень критичности, она открывает путь к выполнению скрипта в рендерере предпросмотра и может стать звеном в более сложной цепочке атак. Своевременное обновление до версии 1.17.0 закрывает эту брешь.Источник: CVE Project (cvelistV5)