Zaloguj się
Deutsch English Español Polski
Średnia

HTML injection in email and account expiry notifications

  • Ujawniono: 26.03.2021
  • Aktualizacja: 11.10.2026 13:19

Impact

The notification emails sent for notifications for missed messages or for an expiring account are subject to HTML injection. In the case of the notification for missed messages, this could allow an attacker to insert forged content into the email.

The account expiry feature is not enabled by default and the HTML injection is not controllable by an attacker.

Patches

This issue is fixed in #9200.

Workarounds

For the missed messages notifications:

The notif.html, notif_mail.html, and room.html templates can be overridden with custom templates that manually escapes the variables using JInja2's escape filter. See the email.template_dir setting.

For the account expiry notifications:

  1. Account expiry can be disabled via the account_validity.enabled setting.

  2. The notice_expiry.html template can be overridden with a custom template that manually escapes the variables using JInja2's escape filter. See the email.template_dir setting.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) matrix-synapse < 1.27.0 1.27.0

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:H/A:N
Słabość (CWE)
CWE-74, CWE-79
Platforma
Python (PyPI)
Paczka
matrix-synapse
Ujawniono
26.03.2021
Aktualizacja
11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2021-134 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-c5f8-35qr-q4fm - CC BY 4.0

Historia podatności: matrix-synapse

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (45) w archiwum
Wszystkich wpisów
45
Pierwsza → ostatnia
03.2019 05.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 21
  • Średnia 21
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Synapse CPU starvation (Denial of Service)
    Wysoka · 5.5 CVE-2026-45078 < 1.152.1 1.152.1
  2. Synapse vulnerable to federation denial of service via malformed events
    Wysoka · 7.1 CVE-2025-30355 < 1.127.1 1.127.1
  3. Synapse can be forced to thumbnail unexpected file formats, invoking external, potentially untrustworthy decoders
    Wysoka CVE-2024-53863 < 1.120.1 1.120.1
  4. Synapse allows a a malformed invite to break the invitee's `/sync`
    Wysoka CVE-2024-52815 < 1.120.1 1.120.1
  5. Synapse allows unsupported content types to lead to memory exhaustion
    Wysoka CVE-2024-52805 < 1.120.1 1.120.1
  6. Synapse denial of service through media disk space consumption
    Wysoka · 7.5 CVE-2024-37302 < 1.106 1.106
  7. Synapse Denial of service due to incorrect application of event authorization rules during state resolution
    Wysoka · 6.5 CVE-2022-39374 >= 1.62.0, < 1.68.0rc1 1.68.0rc1
  8. Synapse does not apply enough checks to servers requesting auth events of events in a room
    Wysoka · 5.0 CVE-2022-39335 < 1.69.0 1.69.0
  9. Denial of service due to incorrect application of event authorization rules
    Wysoka · 7.5 CVE-2022-31152 < 1.62.0rc1 1.62.0rc1
  10. URL previews of unusual or maliciously-crafted pages can crash Synapse media repositories or Synapse monoliths
    Wysoka · 6.5 CVE-2022-31052 < 1.61.1 1.61.1
  11. Matrix Synapse DoS
    Wysoka · 7.5 CVE-2018-10657 < 0.28.1 0.28.1
  12. Matrix Synapse Improper Signature Validation
    Wysoka · 8.8 CVE-2018-16515 >= 0.33.3, < 0.33.3.1, < 0.33.2.1 0.33.3.1, 0.33.2.1
  13. Matrix Synapse Authorization Error
    Wysoka · 7.5 CVE-2018-12423 < 0.31.2 0.31.2
  14. Matrix Synapse Security Filtering Flaw
    Wysoka · 7.5 CVE-2018-12291 < 0.31.1 0.31.1
  15. Path traversal in Matrix Synapse
    Wysoka · 7.5 CVE-2021-41281 < 1.47.1 1.47.1
  16. Open redirect via transitional IPv6 addresses on dual-stack networks
    Wysoka · 6.3 CVE-2021-21392 < 1.28.0rc1 1.28.0rc1
  17. HTML injection in email and account expiry notifications ten wpis
    Średnia · 6.1 CVE-2021-21333 < 1.27.0 1.27.0
  18. Denial of service attack via incorrect parameters in Matrix Synapse
    Wysoka · 6.5 CVE-2020-26257 < 1.23.1 1.23.1
  19. Denial of service attack due to invalid JSON
    Wysoka · 7.5 CVE-2020-26890 < 1.20.0 1.20.0
  20. Improper Verification of Cryptographic Signature in matrix-synapse
    Wysoka · 8.6 CVE-2019-18835 < 1.5.0 1.5.0
  21. matrix-sydent and matrix-synapse Use Cryptographically Weak PRNG
    Wysoka · 7.5 CVE-2019-11842 < 0.99.3.1 0.99.3.1
  22. Matrix Synapse before 0.34.0.1, when the macaroon_secret_key authentication parameter is not set, uses a predictable value to derive a secret key and other secrets which could allow remote attackers t
    Wysoka · 7.5 CVE-2019-5885 < 0.34.0.1 0.34.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.