PT-2024-34350 · Axigen · Axigen Mail Server

Clément Lecigne

·

Publicado

2024-11-11

·

Atualizado

2024-11-12

·

CVE-2024-50601

CVSS v3.1

6.1

Média

VetorAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas:
Versões do Axigen Mail Server anteriores à 10.5.29
Descrição:
O problema diz respeito a vulnerabilidades XSS persistentes e refletidas no cookie themeMode e no parâmetro de URL h. Isso poderia permitir que invasores executassem código JavaScript arbitrário, levando potencialmente ao sequestro de sessão, vazamento de dados e exploração adicional por meio de um ataque em várias etapas.
Recomendações:
Para versões do Axigen Mail Server anteriores à 10.3.3.67, atualize para a versão 10.3.3.67 ou posterior.
Para versões do Axigen Mail Server de 10.3.3.67 a 10.4.41, atualize para a versão 10.4.42 ou posterior.
Para as versões do Axigen Mail Server de 10.4.42 a 10.5.28, atualize para a versão 10.5.29 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao parâmetro de URL h e ao cookie themeMode para minimizar o risco de exploração.

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-50601

Produtos afetados

Axigen Mail Server