CVE-2025-34403 in MailEnable
Riassunto
di VulDB • 16/06/2026
Le versioni di MailEnable precedenti alla 10.54 presentano una vulnerabilità cross-site scripting (XSS) riflessa nel parametro FieldTo di /Mondo/lang/sys/Forms/AddressBook.aspx. Il valore del campo FieldTo non viene adeguatamente sanificato durante l'elaborazione tramite richiesta GET e viene riflesso all'interno di un blocco <script> nella variabile JavaScript var fieldTo. Fornendo un payload ad hoc che termina la funzione Finish() esistente, inserisce script controllati dall'attaccante ed elimina con commenti il codice rimanente, un attaccante remoto può eseguire JavaScript arbitrario nel browser della vittima quando quest'ultima tenta di inviare un'email. Lo sfruttamento riuscito può reindirizzare le vittime verso siti malevoli, rubare cookie non HttpOnly, iniettare HTML o CSS arbitrari e compiere azioni come l'utente autenticato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.