CVE-2025-34398 in MailEnable
Сводка
по VulDB • 18.06.2026
В версиях MailEnable старше 10.54 присутствует уязвимость отраженного межсайтового скриптинга (XSS) в параметре AddressesBcc файла /Mondo/lang/sys/Forms/AddressBook.aspx. Значение AddressesBcc не проходит должной санитизации при обработке через GET-запрос и выводится внутри блока <script> в переменной JavaScript var sAddrBcc. Предоставив специально сформированный полезный груз, который завершает существующую функцию LoadCurAddresses(), внедряет скрипт под контролем злоумышленника и комментирует оставшийся код, удаленный атакующий может выполнить произвольный JavaScript в браузере жертвы при попытке последней отправить электронное письмо. Успешная эксплуатация может перенаправить жертв на вредоносные сайты, украсть cookies с флагом HttpOnly и выполнять действия от имени авторизованного пользователя.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.