CVE-2025-34400 in MailEnable
Riassunto
di VulDB • 28/06/2026
Le versioni di MailEnable precedenti alla 10.54 presentano una vulnerabilità cross-site scripting (XSS) riflessa nel parametro AddressesTo di /Mondo/lang/sys/Forms/AddressBook.aspx. Il valore di AddressesTo non viene adeguatamente sanificato durante l'elaborazione tramite una richiesta GET e viene riflesso all'interno di un blocco <script> nella risposta. Fornendo un payload ad hoc che termina la funzione JavaScript esistente, inserisce script controllati dall'attaccante ed esclude il codice rimanente con commenti, un attaccante remoto può eseguire codice JavaScript arbitrario nel browser della vittima quando questa tenta di inviare un'email. Lo sfruttamento riuscito può reindirizzare le vittime verso siti malevoli, rubare cookie non HttpOnly, iniettare HTML o CSS arbitrari e compiere azioni come l'utente autenticato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.