Jason Molenda e Hiromitsu Takagi encontraram formas de explorar uma falha cross site scripting no mhonarc, um conversor de e-mail para HTML. Ao processar e-mails do tipo text/html, o mhonarc, não desativa todos as partes do script corretamente. Isso foi corrigido na versão 2.5.3 do autor.
Se você está preocupado com a segurança, então é recomendado que você desabilite o suporte a mensagens text/html em seu arquivo de e-mails. Não há garantias que a biblioteca mhtxthtml.pl library é robusta o suficiente para eliminar todas as possíveis explorações que podem ocorrer com dados HTML.
Para excluir dados HTML, você pode usar o recurso MIMEEXCS. Por exemplo:
<MIMEExcs>
text/html
text/x-html
</MIMEExcs>
O tipo "text/x-html" não é usado mais, mas é bom incluí-lo, de qualquer forma.
Se está preocupado que isso possa bloquear todo o conteúdo de suas mensagens, então você pode fazer o seguinte:
<MIMEFilters>
text/html; m2h_text_plain::filter; mhtxtplain.pl
text/x-html; m2h_text_plain::filter; mhtxtplain.pl
</MIMEFilters>
Isso trata HTML como text/plain.
Os problemas acima foram corrigidos na versão 2.5.2-1.1 para a atual distribuição estável (woody), na versão 2.4.4-1.1 para a antiga versão estável (potato) e na versão 2.5.11-1 para a distribuição instável (sid).
Nós recomendamos que você atualize seus pacotes mhonarc.
Checksums MD5 dos arquivos listados estão disponíveis no alerta original.