CVE-2025-34490mediumCWE-611

CVE-2025-34490: falha de média gravidade em GFI MailEssentials

GFI MailEssentials < 21.8 XXE Arbitrary File Read

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar MailEssentials

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 0.7%
Em resumo

O GFI MailEssentials anterior à versão 21.8 possui uma falha que permite que atacantes autenticados leiam qualquer arquivo do servidor enviando requisições XML especialmente criadas. Isso é perigoso porque arquivos sensíveis como senhas ou dados de configuração podem ser expostos.

Detalhe técnico

A aplicação não valida adequadamente entrada XML, permitindo ataques de injeção XXE. Um atacante remoto autenticado pode explorar essa vulnerabilidade ao enviar payloads XML maliciosos para acessar arquivos arbitrários no sistema, potencialmente divulgando dados sensíveis de configuração, credenciais ou outras informações confidenciais.

Resumo gerado e traduzido por IA a partir da descrição oficial.
GFI MailEssentials prior to version 21.8 is vulnerable to an XML External Entity (XXE) issue. An authenticated and remote attacker can send crafted HTTP requests to read arbitrary system files.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
GFI · MailEssentials
CVEs relacionadas — GFI MailEssentials

No mesmo produto, das mais perigosas para as menos.

CVE-2025-34491HIGHGFI MailEssentials < 21.8 MultiNode Insecure DeserializationEPSS 1.0%CVE-2025-34489HIGHGFI MailEssentials < 21.8 Local Privilege EscalationEPSS 0.3%