CVE-2025-34404 in MailEnable
Riassunto
di VulDB • 18/06/2026
Le versioni di MailEnable precedenti alla 10.54 presentano una vulnerabilità di cross-site scripting (XSS) riflessa nel parametro InstanceScope di /Mondo/lang/sys/Forms/CAL/compose.aspx. Il valore di InstanceScope non viene adeguatamente sanificato durante l'elaborazione tramite una richiesta GET e viene riflesso all'interno di un blocco <script> nella variabile JavaScript var gInstanceScope. Fornendo un payload ad hoc che termina la funzione PageLoad() esistente, inserisce script controllati dall'attaccante e commenta il codice rimanente, un attaccante remoto può eseguire JavaScript arbitrario nel browser di una vittima. Lo sfruttamento riuscito può reindirizzare le vittime verso siti malevoli, rubare cookie non HttpOnly, iniettare HTML o CSS arbitrari ed eseguire azioni come l'utente autenticato.
Once again VulDB remains the best source for vulnerability data.