CVE-2026-8496Alinto SOGo 5.12.7版本存在存储型XSS漏洞。该漏洞由于应用程序未能充分清理ICS日历邀请描述字段中的SVG内容所致。攻击者可利用包含onrepeat事件处理器的恶意SVG文件，在受害者查看日历邀请时执行任意JavaScript代码，导致会话劫持和数据窃取。
该漏洞属于存储型跨站脚本攻击（Stored XSS），核心问题出在Alinto SOGo处理ICS日历邀请文件组件的输入验证机制上。攻击者能够构造特制的ICS文件，将其中的“DESCRIPTION”字段填充为包含恶意SVG标签的数据。关键在于，SOGo未能对SVG标签中的特定事件处理器（如onrepeat）进行净化处理。当受害者通过Webmail界面点击或预览该日历邀请时，恶意SVG内容会被渲染，触发onrepeat事件，进而执行嵌入的JavaScript代码。由于该操作是在受害者已登录的Webmail会话上下文中进行的，攻击者可以利用JavaScript访问DOM、读取本地存储、窃取Session ID，进而完全接管用户账户，获取邮件内容和通讯录，甚至冒充用户发送钓鱼邮件。