Vulnerabilidades

mime.php en Squirrelmail a través de 1.4.23-SVN-20250401 y 1.5.x a 1.5.2-SVN-20250401 permite XSS a través de encabezados de correo electrónico, porque JavaScript payloads se mezclan después de que $ codificado se haya establecido en verdad.

Se ha encontrado una vulnerabilidad de exposición de información, cuya explotación podría permitir a un usuario remoto recuperar información confidencial almacenada en el servidor, como archivos de credenciales, archivos de configuración, archivos de aplicaciones, etc., simplemente agregando cualquiera de los…

Vulnerabilidad XSS almacenada. Esta vulnerabilidad podría permitir a un atacante almacenar un payload de JavaScript malicioso mediante métodos GET y POST en múltiples parámetros en el archivo MailAdmin_dll.htm.

Vulnerabilidad de Path Traversal cuya explotación podría permitir a un usuario remoto autenticado eludir las restricciones previstas por SecurityManager y enumerar un directorio principal a través de cualquier nombre de archivo, como un valor múltiple ..%2F que afecta el parámetro 'dodoc' en el archivo…

** EN DISPUTA ** compose.php en SquirrelMail 1.4.22 llama a unserialize para el valor $attachments, que se origina en una petición HTTP POST. NOTA: el proveedor disputa esto porque no se cumplen estas dos condiciones para la inyección de objetos PHP: existencia de un método mágico PHP (como __wakeup o __destruct), y…

El archivo compose.php en SquirrelMail versión 1.4.22, invoca la falta de serialización del valor de $mailtodata, que se origina a partir de una petición HTTP GET. Esto está relacionado con mailto.php

Squirrelmail versión 4.0, utiliza el algoritmo hash MD5 obsoleto para las contraseñas.

Se detectó un XSS en SquirrelMail hasta la versión 1.4.22 y versión 1.5.x hasta 1.5.2. Debido al manejo inapropiado de los elementos de tipo RCDATA y RAWTEXT, el mecanismo de saneamiento incorporado puede ser omitido. El contenido de script malicioso del correo electrónico HTML puede ejecutarse dentro del contexto de…

La página de visualización de mensajes de email en SquirrelMail hasta la versión 1.4.22 tiene Cross-Site Scripting (XSS) mediante animaciones SVG (animate to attribute).

La página de visualización de mensajes de email en SquirrelMail hasta la versión 1.4.22 tiene Cross-Site Scripting (XSS) mediante el atributo formaction.

La página de visualización de mensajes de email en SquirrelMail hasta la versión 1.4.22 tiene Cross-Site Scripting (XSS) mediante un ataque "

La página de visualización de mensajes de email en SquirrelMail hasta la versión 1.4.22 tiene Cross-Site Scripting (XSS) mediante un ataque "

La página de visualización de mensajes de email en SquirrelMail hasta la versión 1.4.22 tiene Cross-Site Scripting (XSS) mediante un ataque "

La página de visualización de mensajes de email en SquirrelMail hasta la versión 1.4.22 tiene Cross-Site Scripting (XSS) mediante un ataque "

Un error de salto de directorio en SquirrelMail 1.4.22 permite que un atacante autenticado exfiltre (o elimine) archivos del servidor que los aloja. Esto está relacionado con ../ en el campo att_local_name en Deliver.class.php.

SquirrelMail versión 1.4.22 (y otras versiones anteriores a 20170427_0200-SVN), permite la ejecución de código remota de autenticación posterior por medio de un archivo sendmail.cf que es manejado inapropiadamente en una llamada emergente. Es posible explotar esta vulnerabilidad para ejecutar comandos de shell…

CREAR AL-Mail32 amterior a 1.13d permite a atacantes remotos causar una denegación de servicio (caída de aplicación) a través de un nombre de dispositivo (1) CON, (2) AUX, o (3) NUL en el nombre de fichero de un adjunto.

Vulnerabilidad de salto de directorio en CREAR AL-Mail32 anterior a 1.13d permite a atacantes remotos escribir a ficheros arbitrarios a través de el nombre de un fichero manipulado de un adjunto.

Vulnerabilidad de XSS en Homepage Decorator PerlMailer 3.10 y anteriores permite a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de vectores no especificados.

El paquete Gentoo Nullmailer anterior a 1.11-r2 utiliza permisos de lectura universal para /etc/nullmailer/remotes, lo que permite a usuarios locales obtener credenciales de autenticación SMTP mediante la lectura del archivo.

functions/imap_general.php en SquirrelMail, tal y como se usa ??en Red Hat Enterprise Linux (RHEL) v4 y v5 no trata correctamente los caracteres de 8 bits en las contraseñas, lo que permite a atacantes remotos provocar una denegación de servicio (por excesivo consumo de disco) haciendo muchos intentos de acceso IMAP…

Múltiples vulnerabilidades de falsificación de petición en sitios cruzados (CSRF) en SquirrelMail v1.4.21 y anteriores permite a atacantes remotos secuestrar la autenticación de las víctimas a través de vectores no especificados participación (1) la implementación de la basura y (2) con la página Index Order (también…

Vulnerabilidad de inyección CRLF (se refiere a CR (retorno de carro) y LF (salto de línea)en SquirrelMail v1.4.21 y anteriores, que permite a atacantes remotos modificar o añadir valores de preferencia a través de un retorno de carro o nueva línea de carácter. Es una vulnerabilidad diferente a CVE-2010-4555.

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en functions/mime.php en SquirrelMail anterior a v.1.4.22 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de un elemento STYLE en un correo electrónico.

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en SquirrelMail v1.4.21 y anteriores, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de vectores que comprenden (1) listas desplegables de selección, (2) caracter > (mayor que) en el plugin…