CVE-2025-34316
Təsvir
IPFire-ın 2.29 versiyasından əvvəlki versiyaları (Core Update 198), autentifikasiya olunmuş hücumçunun poçt server parametrlərini yeniləyərkən txt_mailuser və txt_mailpass parametrləri vasitəsilə ixtiyari JavaScript kodunu yerləşdirməsinə imkan verən saxlanılan saytlararası skriptinq (XSS) boşluğu ehtiva edir. İstifadəçi poçt serverini yenilədikdə, tətbiq /cgi-bin/mail.cgi ünvanına HTTP POST sorğusu göndərir və istifadəçi adı ilə şifrə txt_mailuser və txt_mailpass parametrlərində təqdim olunur. Bu parametrlərin dəyərləri yaddaşa yazılır və daha sonra lazımi təmizləmə və ya kodlaşdırma olmadan veb interfeysdə göstərilir ki, bu da yerləşdirilmiş skriptlərin təsirlənmiş poçt konfiqurasiyasını görən digər istifadəçilərin kontekstində icra olunmasına şərait yaradır.
Necə düzəltmək olar
- ipfire ipfire2.29 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ipfire ipfire | v < 2.29, 2.29 | 2.29 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.