CVE-2025-34409
Açıklama
MailEnable'ın 10.54 öncesi sürümleri, /Mondo/lang/sys/Forms/MAI/AddRecipientsResult.aspx adresindeki Failed parametresinde yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Failed değeri, bir GET isteği aracılığıyla işlendiğinde uygun şekilde temizlenmemekte ve yanıtta yansıtılmaktadır; bu durum, bir saldırganın mevcut işaretlemeden çıkmasına ve rastgele betikler eklemesine olanak tanır. Uzaktaki bir saldırgan, mevcut bir HTML liste öğesini kapatan, saldırgan tarafından kontrol edilen JavaScript kodunu yerleştiren ve kalan kodu yorum satırı haline getiren özel olarak hazırlanmış bir yük (payload) sağlayabilir; bu da kurban kötü amaçlı bir bağlantıyı ziyaret ettiğinde kurbanın tarayıcısında betik çalıştırılmasına yol açar. Başarılı bir istismar, kurbanların kötü amaçlı sitelere yönlendirilmesine, HttpOnly olmayan çerezlerin çalınmasına, rastgele HTML veya CSS eklenmesine ve kimliği doğrulanmış kullanıcı adına işlemler gerçekleştirilmesine neden olabilir.
Nasıl düzeltilir
- mailenable mailenable10.54 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mailenable mailenable | v < 10.54 | 10.54 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.