CVE-2025-34404

Nome do Software Vulnerável e Versões Afetadas Versões do MailEnable anteriores à 10.54

Descrição O software contém uma vulnerabilidade de cross-site scripting (XSS) refletido no parâmetro InstanceScope do endpoint ''/Mondo/lang/sys/Forms/CAL/compose.aspx''. O valor de InstanceScope não é devidamente sanitizado quando processado via uma requisição GET e é refletido dentro de um bloco . Um atacante pode executar JavaScript arbitrário no navegador de uma vítima ao fornecer um payload especialmente criado que encerra a função PageLoad(), insere script controlado pelo atacante e comenta o código restante. A exploração bem-sucedida pode redirecionar vítimas para sites maliciosos, roubar cookies não HttpOnly, injetar HTML ou CSS arbitrário e realizar ações como o usuário autenticado.

Recomendações Atualize para a versão 10.54 ou superior.