CVE-2025-44148
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w MailEnable przed wersją 10 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponent failure.aspx.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przejęcia kont użytkowników lub rozprzestrzeniania złośliwego oprogramowania w organizacji.
Rekomendacja
Należy natychmiast zaktualizować MailEnable do wersji 10 lub nowszej oraz zastosować filtrowanie wejścia w komponencie failure.aspx.
Inne podatności w MailEnable
Zobacz wszystkie- CVE-2025-34423Wysokie
MailEnable w wersjach wcześniejszych niż 10.54 zawiera podatność na niebezpieczne ładowanie bibliotek DLL, co może prowadzić do lokalnego wykonania dowolnego kodu. Wykonywalny plik administracyjny MailEnable próbuje załadować MEAIAU.DLL z katalogu instalacyjnego bez wystarczającej weryfikacji integralności lub bezpiecznej kolejności wyszukiwania. Lokalny atakujący z prawem zapisu do tego katalogu może umieścić złośliwą bibliotekę MEAIAU.DLL, która zostanie załadowana podczas wykonania, co skutkuje wykonaniem kodu kontrolowanego przez atakującego z uprawnieniami procesu.
- CVE-2025-34425Średnie
MailEnable w wersjach przed 10.54 zawiera podatność na odzwierciedlony atak XSS w parametrze WindowContext w /Mondo/lang/sys/Forms/MAI/compose.aspx. Wartość WindowContext nie jest odpowiednio sanityzowana i jest odzwierciedlana w kontekście skryptu, co pozwala atakującemu na wstrzyknięcie dowolnego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting (XSS) vulnerability in MailEnable before v10 allows a remote attacker to execute arbitrary code via the failure.aspx component
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS