CVE-2025-34398
Açıklama
MailEnable'ın 10.54 öncesi sürümleri, /Mondo/lang/sys/Forms/AddressBook.aspx adresindeki AddressesBcc parametresinde yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. AddressesBcc değeri, bir GET isteği aracılığıyla işlendiğinde uygun şekilde temizlenmemekte ve JavaScript değişkeni var sAddrBcc içerisindeki bir <script> bloğunda yansıtılmaktadır. Mevcut LoadCurAddresses() fonksiyonunu sonlandıran, saldırgan tarafından kontrol edilen betiği ekleyen ve kalan kodu yorum satırına alan özel olarak hazırlanmış bir yük (payload) sağlayan uzak bir saldırgan, kurban e-posta göndermeye çalıştığında kurbanın tarayıcısında rastgele JavaScript çalıştırabilir. Başarılı bir istismar; kurbanların kötü amaçlı sitelere yönlendirilmesine, HttpOnly olmayan çerezlerin çalınmasına ve kimliği doğrulanmış kullanıcı adına işlemler gerçekleştirilmesine neden olabilir.
Nasıl düzeltilir
- mailenable mailenable10.54 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mailenable mailenable | v < 10.54 | 10.54 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.