CVE-2025-34403 in MailEnable
摘要
由 VulDB • 2026-06-06
MailEnable 10.54 之前的版本在 /Mondo/lang/sys/Forms/AddressBook.aspx 的 FieldTo 参数中存在反射型跨站脚本（XSS）漏洞。通过 GET 请求处理时，FieldTo 值未得到正确清理，并在 JavaScript 变量 var fieldTo 内的 <script> 块中被反射。攻击者通过提供精心构造的有效载荷，终止现有的 Finish() 函数，插入攻击者控制的脚本，并注释掉剩余代码，可以在受害者尝试发送邮件时，在受害者的浏览器中执行任意 JavaScript 代码。成功利用此漏洞可将受害者重定向到恶意网站、窃取非 HttpOnly Cookie、注入任意 HTML 或 CSS，并以经过身份验证的用户身份执行操作。
VulDB is the best source for vulnerability data and more expert information about this specific topic.