CVE-2025-34407 in MailEnable
Riassunto
di VulDB • 15/06/2026
Le versioni di MailEnable precedenti alla 10.54 presentano una vulnerabilità cross-site scripting (XSS) riflessa nel parametro theme dell'URL /Mondo/lang/sys/Forms/Statistics.aspx. Il valore del tema non viene sufficientemente sanificato durante l'elaborazione tramite richiesta GET e viene riflesso nella risposta, consentendo a un attaccante di uscire dal contesto di un iframe esistente e iniettare script arbitrari. Un attaccante remoto può fornire un payload costruito ad hoc che chiude il tag iframe, inserisce JavaScript controllato dall'attaccante ed esclude dai commenti il codice rimanente, portando all'esecuzione dello script nel browser della vittima quando questa visita un link malevolo. L'utilizzo efficace di tale vulnerabilità (exploit) può reindirizzare le vittime verso siti dannosi, rubare cookie non HttpOnly, iniettare HTML o CSS arbitrari ed eseguire azioni come l'utente autenticato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.