CVE-2025-34406
Açıklama
MailEnable'ın 10.54 öncesi sürümleri, /Mobile/ContactDetails.aspx adresindeki Id parametresinde yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Id değeri, bir GET isteği aracılığıyla işlendiğinde uygun şekilde temizlenmemekte ve yanıttaki bir <script> bloğu içinde yansıtılmaktadır. Mevcut bir JavaScript fonksiyonunu sonlandıran, saldırgan tarafından kontrol edilen betiği ekleyen ve kalan kodu yorum satırına alan özel olarak hazırlanmış bir yük (payload) sunarak, uzak bir saldırgan, mağdur kötü amaçlı bir bağlantıyı açtığında mağdurun tarayıcısında rastgele JavaScript çalıştırabilir. Başarılı bir istismar; mağdurların kötü amaçlı sitelere yönlendirilmesine, HttpOnly ile korunmayan çerezlerin çalınmasına, rastgele HTML veya CSS enjekte edilmesine ve kimliği doğrulanmış kullanıcı adına işlemler gerçekleştirilmesine neden olabilir.
Nasıl düzeltilir
- mailenable mailenable10.54 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mailenable mailenable | v < 10.54 | 10.54 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.