CVE-2024-11182: fallo de gravedad media en MDaemon Email Server
Stored XSS vulnerability in MDaemon Email Server
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
MDaemon Email Server anterior a la versión 24.5.1c permite que atacantes envíen correos HTML maliciosos con código JavaScript oculto en etiquetas de imagen. Cuando un usuario accede al webmail, el script del atacante se ejecuta en el navegador, pudiendo robar credenciales o realizar acciones no autorizadas.
Vulnerabilidad XSS almacenado en la interfaz de webmail de MDaemon Email Server a través de contenido HTML de correo no sanitizado, específicamente JavaScript incrustado en atributos de etiqueta img. Vector de ataque requiere interacción del usuario (abrir correo), pero la persistencia se logra mediante el correo malicioso almacenado; la explotación exitosa otorga al atacante acceso a la sesión y capacidad de ejecutar acciones como el usuario víctima.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.