IceWarp Merak WebMail Server < 9.4.2 多個弱點

medium Nessus Plugin ID 38717

語系：

概要

遠端 webmail 伺服器受到多個弱點影響。

說明

遠端主機正在執行 IceWarp WebMail Server - 適用於 Windows 和 Linux 的 webmail 伺服器。

根據其標題來判斷，遠端主機上安裝的 IceWarp 版本舊於 9.4.2。據報，這些版本可能受到多個弱點影響：

- Web 型群組軟體元件的搜尋表單中存在一個 SQL 插入弱點。(CVE-2009-1468)

- 存在一個跨網站指令碼弱點，因為應用程式無法正確清清除 HTML 電子郵件。攻擊者可透過「html/webmail/server/inc/tools.php」指令碼的「cleanHTML()」函式惡意利用此缺陷。(CVE-2009-1467)

- 存在一個跨網站指令碼弱點，因為應用程式無法正確清除 RSS 摘要。攻擊者可透過「html/webmail/server/inc/rss/rss.php」指令碼的「cleanHTML()」函式惡意利用此缺陷。(CVE-2009-1467)

- 登入頁面的「Forgot Password」函式中存在一個輸入驗證缺陷。(CVE-2009-1469)

- 特製的 HTTP 要求可能允許攻擊者洩漏 PHP 檔案內容。

攻擊者可惡意利用這些缺陷，竊取使用者憑證、建立任意檔案，或可能執行需要受影響應用程式權限的任意程式碼。