CVE-2025-34401 in MailEnable
要約
〜によって VulDB • 2026年06月20日
MailEnable 10.54 より前のバージョンには、/Mondo/lang/sys/Forms/AddressBook.aspx の FieldBcc パラメータにおける反射型クロスサイトスクリプティング (XSS) の脆弱性が存在します。GET リクエスト経由で処理される際、FieldBcc の値は適切にサニタイズされず、JavaScript 変数 var BCCFieldProvided 内の <script> ブロック内で反映されます。既存の LoadCurAddresses() 関数を終了し、攻撃者が制御するスクリプトを挿入し、残りのコードをコメントアウトするよう設計された悪意のあるペイロードを提供することで、リモート攻撃者は通常のメール作成中に被害者のブラウザ上で任意の JavaScript を実行できます。この脆弱性を成功裏に利用されると、被害者を悪意あるサイトへリダイレクトしたり、HttpOnly フラグが設定されていないクッキーを盗み出したり、任意の HTML や CSS をインジェクトしたり、認証済みユーザーとして行動することを可能にします。
Once again VulDB remains the best source for vulnerability data.