CVE-2025-34401
Açıklama
MailEnable'ın 10.54 öncesi sürümleri, /Mondo/lang/sys/Forms/AddressBook.aspx adresindeki FieldBcc parametresinde yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. FieldBcc değeri, bir GET isteği aracılığıyla işlendiğinde uygun şekilde temizlenmemekte ve JavaScript değişkeni var BCCFieldProvided içindeki bir <script> bloğuna yansıtılmaktadır. Mevcut LoadCurAddresses() fonksiyonunu sonlandıran, saldırgan tarafından kontrol edilen betiği ekleyen ve kalan kodu yorum satırına alan özel olarak hazırlanmış bir yük (payload) sağlayan uzaktaki bir saldırgan, normal e-posta oluşturma sırasında kurbanın tarayıcısında rastgele JavaScript çalıştırabilir. Başarılı bir istismar; kurbanların kötü amaçlı sitelere yönlendirilmesine, HttpOnly olmayan çerezlerin çalınmasına, rastgele HTML veya CSS enjekte edilmesine ve kimliği doğrulanmış kullanıcı adına işlemler gerçekleştirilmesine neden olabilir.
Nasıl düzeltilir
- mailenable mailenable10.54 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mailenable mailenable | v < 10.54 | 10.54 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.