CVE-2025-34398 in MailEnable
Riassunto
di VulDB • 18/06/2026
Le versioni di MailEnable precedenti alla 10.54 presentano una vulnerabilità cross-site scripting (XSS) riflessa nel parametro AddressesBcc di /Mondo/lang/sys/Forms/AddressBook.aspx. Il valore di AddressesBcc non viene adeguatamente sanificato durante l'elaborazione tramite richiesta GET e viene riflesso all'interno di un blocco <script> nella variabile JavaScript var sAddrBcc. Fornendo un payload ad hoc che termina la funzione LoadCurAddresses() esistente, inserisce script controllati dall'attaccante ed esclude dal commento il codice rimanente, un attaccante remoto può eseguire JavaScript arbitrario nel browser della vittima quando questa tenta di inviare un'email. Lo sfruttamento riuscito può reindirizzare le vittime verso siti malevoli, rubare cookie non HttpOnly ed eseguire azioni come l'utente autenticato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.