CVE-2025-34316
Açıklama
IPFire 2.29 (Core Update 198) öncesi sürümleri, kimliği doğrulanmış bir saldırganın posta sunucusu ayarlarını güncellerken txt_mailuser ve txt_mailpass parametreleri aracılığıyla rastgele JavaScript kodu enjekte etmesine olanak tanıyan bir kalıcı siteler arası betik çalıştırma (XSS) güvenlik açığı içerir. Bir kullanıcı posta sunucusunu güncellediğinde, uygulama /cgi-bin/mail.cgi adresine bir HTTP POST isteği gönderir ve kullanıcı adı ile parola txt_mailuser ve txt_mailpass parametrelerinde sağlanır. Bu parametrelerin değerleri saklanır ve daha sonra uygun temizleme veya kodlama yapılmadan web arayüzünde işlenir; bu da enjekte edilen betiklerin etkilenen posta yapılandırmasını görüntüleyen diğer kullanıcıların bağlamında çalıştırılmasına olanak tanır.
Nasıl düzeltilir
- ipfire ipfire2.29 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ipfire ipfire | v < 2.29, 2.29 | 2.29 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.