CVE-2025-34399
Açıklama
MailEnable'ın 10.54 öncesi sürümleri, /Mondo/lang/sys/Forms/AddressBook.aspx adresindeki AddressesCc parametresinde yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. AddressesCc değeri, bir GET isteği aracılığıyla işlendiğinde uygun şekilde temizlenmemekte ve JavaScript değişkeni var sAddrCc içerisindeki bir <script> bloğunda yansıtılmaktadır. Mevcut LoadCurAddresses() fonksiyonunu sonlandıran, saldırgan tarafından kontrol edilen betiği yerleştiren ve kalan kodu yorum satırına alan özel olarak hazırlanmış bir yük (payload) sağlayan uzaktaki bir saldırgan, mağdur e-posta göndermeye çalıştığında mağdurun tarayıcısında rastgele JavaScript çalıştırabilir. Başarılı bir istismar; mağdurların kötü amaçlı sitelere yönlendirilmesine, HttpOnly olmayan çerezlerin çalınmasına, rastgele HTML veya CSS enjekte edilmesine ve kimliği doğrulanmış kullanıcı adına işlemler gerçekleştirilmesine neden olabilir.
Nasıl düzeltilir
- mailenable mailenable10.54 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mailenable mailenable | v < 10.54 | 10.54 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.