CVE-2025-34400
Açıklama
MailEnable'ın 10.54 öncesindeki sürümleri, /Mondo/lang/sys/Forms/AddressBook.aspx adresindeki AddressesTo parametresinde yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. AddressesTo değeri, bir GET isteği aracılığıyla işlendiğinde uygun şekilde temizlenmemekte ve yanıttaki bir <script> bloğu içinde yansıtılmaktadır. Mevcut JavaScript fonksiyonunu sonlandıran, saldırgan tarafından kontrol edilen betiği ekleyen ve kalan kodu yorum satırına alan özel olarak hazırlanmış bir yük faydası sağlayan uzaktaki bir saldırgan, kurban e-posta göndermeye çalıştığında kurbanın tarayıcısında rastgele JavaScript çalıştırabilir. Başarılı bir istismar; kurbanların kötü amaçlı sitelere yönlendirilmesine, HttpOnly olmayan çerezlerin çalınmasına, rastgele HTML veya CSS enjekte edilmesine ve kimliği doğrulanmış kullanıcı adına işlemler gerçekleştirilmesine neden olabilir.
Nasıl düzeltilir
- mailenable mailenable10.54 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mailenable mailenable | v < 10.54 | 10.54 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.