CVE-2025-34491highCWE-502

CVE-2025-34491: fallo de gravedad alta en GFI MailEssentials

GFI MailEssentials < 21.8 MultiNode Insecure Deserialization

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear MailEssentials

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 1.0%
En resumen

GFI MailEssentials versiones anteriores a 21.8 posee una falla que permite a usuarios autenticados ejecutar código malicioso al enviar datos especialmente fabricados durante la configuración multi-servidor. Esto ocurre porque el software procesa objetos .NET serializados de forma insegura sin validación adecuada.

Detalle técnico

La vulnerabilidad surge de la deserialización insegura de objetos .NET (CWE-502) en el mecanismo de unión de MultiNode. Un atacante remoto autenticado puede explotarla mediante payloads serializados maliciosos que ejecutan código arbitrario durante la deserialización, eludiendo controles de seguridad en la configuración del clúster multi-servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.
GFI MailEssentials prior to version 21.8 is vulnerable to a .NET deserialization issue. A remote and authenticated attacker can execute arbitrary code by sending crafted serialized .NET when joining to a Multi-Server setup.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
GFI · MailEssentials
CVEs relacionadas — GFI MailEssentials

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-34490MEDIUMGFI MailEssentials < 21.8 XXE Arbitrary File ReadEPSS 0.7%CVE-2025-34489HIGHGFI MailEssentials < 21.8 Local Privilege EscalationEPSS 0.3%