CVE-2025-34409 in MailEnable
Zusammenfassung
von VulDB • 22.05.2026
MailEnable-Versionen vor 10.54 enthalten eine reflektierte Cross-Site-Scripting-(XSS)-Schwachstelle im Parameter „Failed“ von /Mondo/lang/sys/Forms/MAI/AddRecipientsResult.aspx. Der Wert von „Failed“ wird bei der Verarbeitung über eine GET-Anfrage nicht ordnungsgemäß bereinigt und in der Antwort reflektiert, was es einem Angreifer ermöglicht, aus dem vorhandenen Markup auszubrechen und beliebigen Code einzufügen. Ein entfernter Angreifer kann ein speziell angefertigtes Payload bereitstellen, das ein vorhandenes HTML-Listenelement schließt, vom Angreifer gesteuerten JavaScript-Code einfügt und den verbleibenden Code auskommentiert, was zur Ausführung von Skripten im Browser des Opfers führt, wenn dieses einen bösartigen Link besucht. Eine erfolgreiche Ausnutzung kann Opfer zu bösartigen Websites umleiten, nicht HttpOnly-Cookies stehlen, beliebiges HTML oder CSS einfügen und Aktionen als der authentifizierte Benutzer durchführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.