CVE-2021-41083

Dada Mail web tabanlı bir e-posta listesi yönetim sistemidir. Etkilenen sürümlerde, kötü niyetli bir aktör birine e-posta, SMS vb. yoluyla özenle hazırlanmış bir web sayfası gönderebilir; bu sayfa ziyaret edildiğinde, kötü niyetli aktörün kendisi oturum açmış gibi liste kontrol paneline erişmesini sağlar. Bu, herhangi bir posta listesi parolasının yanı sıra Dada Mail Root Password'un değiştirilmesini de içerir; bu da gerçek liste sahiplerinin posta listesinden etkin biçimde dışlanmasına ve kötü niyetli aktörün posta listeniz üzerinde tam ve sınırsız kontrol elde etmesine olanak tanır. Bu güvenlik açığı profil oturum açmalarını da etkiler. Bu güvenlik açığının işlemesi için kötü niyetli aktörün hedefinin liste kontrol paneline kendisinin oturum açmış olması gerekir. Dada Mail'deki bu CSRF güvenlik açığı Dada Mail v11.15.1 ve altındaki tüm sürümleri etkiler. Gerçek dünyada meydana gelmiş bilinen bir CSRF istismarı olmasa da, bu güvenlik açığı testlerimizle ve bir üçüncü tarafça doğrulanmıştır. Kullanıcıların 11.16.0 sürümüne güncelleme yapmaları önerilir.