CVE-2021-41083

Dada Mail veb əsaslı e-poçt siyahılarının idarəetmə sistemidir. Təsirə məruz qalan versiyalarda bədniyyətli şəxs e-poçt, SMS və s. vasitəsilə hədəf şəxsə xüsusi hazırlanmış veb səhifə göndərə bilər ki, həmin səhifəyə daxil olduqda, bədniyyətli şəxs sanki özü giriş etmiş kimi siyahı idarəetmə panelini nəzarət altına ala bilir. Bura istənilən poçt siyahısının şifrəsinin, eləcə də Dada Mail Root Password-ün dəyişdirilməsi daxildir ki, bu da faktiki olaraq poçt siyahısının real sahiblərinin çıxışını bağlayır və bədniyyətli şəxsə sizin poçt siyahınız üzərində tam və məhdudiyyətsiz nəzarət imkanı verir. Bu zəiflik profil girişlərinə də təsir edir. Bu hücumun uğurlu olması üçün bədniyyətli şəxsin hədəfi özü siyahı idarəetmə panelinə daxil olmuş olmalıdır. Dada Mail-dəki bu CSRF zəifliyi Dada Mail v11.15.1 və daha aşağı bütün versiyalara təsir edir. Real mühitdə baş vermiş heç bir CSRF eksploytu məlum olmasa da, bu zəiflik bizim testlərimiz və üçüncü tərəf tərəfindən təsdiqlənmişdir. İstifadəçilərə 11.16.0 versiyasına yeniləmək tövsiyə olunur.