Vulnerabilidad en Pegasus Mail 3.12

El cliente de correo Pegasus Mail, en su versión 3.12, puede enviar
de forma automática cualquier fichero del sistema de un usuario al
visitar una página web especialmente diseñada para la ocasión.
El código en la página web para explotar la vulnerabilidad es el
siguiente:

Cuando un usuario visualiza la página web el cliente de correo Pegasus
Mail envía a la dirección hacker@hackersite.com el fichero local al
que se hace referencia, en esta caso c:\test.txt. El problema ha sido
explotado con éxito en la última versión disponible del cliente de
correo, la 3.12c, utilizando como navegador Internet Explorer 5 en
cualquiera de las versiones de Windows existentes.

El creador del programa está avisado del problema y anuncia que en
breve emitirá una solución. Mientras tanto, se aconseja a los usuarios
de Pegasus Mail que no mantengan el cliente de correo abierto mientras
navegan. Si bien la vulnerabilidad continuaría existiendo, el código
de la página web abriría Pegasus Mail de forma automática para enviar
el mensaje, lo que alertaría al usuario afectado. Otras soluciones
más drásticas pasan por cambiar de cliente de correo.

Más información:

Bugtraq
http://www.securityfocus.com/archive/1/137162

Pegasus Mail
http://www.pmail.com/