CVE-2025-34397
Açıklama
10.54 öncesindeki MailEnable sürümleri, /Mobile/Compose.aspx adresinin Message parametresinde yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Message değeri, bir GET isteği aracılığıyla işlendiğinde uygun şekilde temizlenmemekte ve yanıttaki bir JavaScript bağlamına yansıtılmaktadır. Mevcut betik bloğunu/fonksiyonunu sonlandıran, saldırgan tarafından kontrol edilen JavaScript'i enjekte eden ve kalan kodu yorum satırına alan özel olarak hazırlanmış bir yük sağlayan uzaktaki bir saldırgan, mağdur hazırlanan yanıt URL'sini açtığında mağdurun tarayıcısında rastgele JavaScript çalıştırabilir. Başarılı bir istismar; mağdurların kötü amaçlı sitelere yönlendirilmesine, HttpOnly olmayan çerezlerin çalınmasına, rastgele HTML veya CSS enjekte edilmesine ve kimliği doğrulanmış kullanıcı adına işlemler gerçekleştirilmesine neden olabilir.
Nasıl düzeltilir
- mailenable mailenable10.54 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mailenable mailenable | v < 10.54 | 10.54 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.