Vulnerabilidades

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en functions/mime.php en SquirrelMail anterior a v.1.4.22 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de un elemento STYLE en un correo electrónico.

Múltiples vulnerabilidades de ejecución de secuencias de comandos en sitios cruzados (XSS) en SquirrelMail v1.4.21 y anteriores, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de vectores que comprenden (1) listas desplegables de selección, (2) caracter > (mayor que) en el plugin…

functions/page_header.php en SquirrelMail v1.4.21 y anteriores no previene el renderizado de páginas dentro de un marco en un documento HTML de terceros, haciéndolo más fácil a atacantes remotos para realizar ataques de clickjacking mediante un sitio web manipulado.

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en Cybozu Office v6, Cybozu Garoon v2.0.0 hasta v2.1.3, Cybozu Dezie antes de v6.1, Cybozu MailWise antes de v3.1, y Cybozu Collaborex antes de v1.5 permiten a atacantes remotos inyectar secuencias de comandos web o HTML a través de…

Vulnerabilidad de salto de directorio en la interfaz web en AnyMacro Mail System G4X permite a atacantes remotos leer ficheros de su elección a través de secuencias de salto de directorio en una solicitud.

fetchmail v5.9.9 a la v6.3.19 no limita correctamente el tiempo de espera después de la emisión de una solicitud (1) STARTTLS o (2) STLS, lo que permite a los servidores remotos provocar una denegación de servicio (bloqueo de la aplicación) al hacer un ACK de la solicitud y no enviando posteriormente paquetes…

La configuración por defecto de ExShortcut\Web.config en EMC SourceOne Email Management anteriores a v6.6 Service Pack 1, cuando se utiliza el componente Mobile Services, no fija de forma adecuada el atributo localOnly de la traza del elemento, lo que permite a usuarios remotos autenticados a obtener información…

steps/utils/modcss.inc en Roundcube Webmail anterior a v0.5.1 no comprueba correctamente que una solicitud es una solicitud esperada para una hoja de estilo externa (Cascading Style Sheets), permitiendo a usuarios remotos autenticados lanzar conexiones arbitrarias salientes TCP desde el servidor , y posiblemente…

El formulario de login en Roundcube Webmail anterior a v0.5.1 no maneja correctamente un intento de login no intencionado, lo que hace más fácil para usuarios remotos autenticados de obtener información sensible haciendo que una víctima haga login en la cuenta del atacante para luego componer un e-mail, relacionado…

La implementación STARTTLS en Kerio Connect v7.1.4 build 2985 y MailServer v6.x no restringe de forma adecuada el búfer I/O, lo que permite atacantes "man-in-the-middle" insertar comandos en las sesiones SMTP cifrado mediante el envío de un comando de texto plano que se procesa después de TLS en su lugar, en relación…

La implementación qmail-smtpd.c en qmail-smtpd en el parche netqmail-1.06-tls para netqmail v1.06 no restringe el búfer I/O de forma adecuada, lo que permite a los atacantes "man-in-the-middle insertar comandos en las sesiones SMTP cifrado mediante el envío de un comando de texto plano que se procesa después de que…

La implementación del servidor Ipswitch IMail v11.03 no restringe el búfer I/O de forma adecuada, lo que permite a los atacantes "man-in-the-middle insertar comandos en las sesiones SMTP cifrado mediante el envío de un comando de texto plano que se procesa después de que TLS está en su lugar, relacionado con un ataque…

Múltiples vulnerabilidades de ejecución de comandos en sitios cruzados(XSS) en CGI/confirm.py en GNU Mailman v2.1.14 y anteriores permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del campo (1) nombre completo o (2) nombre de usuario en un mensaje de confirmación.

La función de entrega en el agente de entrega de sendmail (lib/mail/network/delivery_methods/sendmail.rb)para Ruby Mail gem v2.2.14 y anteriores permite a atacantes remotos ejecutar comandos arbitrarios a través de metacaracteres cubiertos en una dirección de correo electrónico.

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en Hastymail2 anterior a v1.01 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de un atributo manipulado dentro de una celda en un elemento TABLE, relacionados con el uso indebido del filtro htmLawed.

Hastymail2 en versiones anteriores a la RC 8 no asigna el atributo "secure" para la cookie de sesión de una sesión https, lo que facilita a atacantes remotos capturar esta cookie interceptando su transmisión dentro de una sesión http.

Una vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en Hypermail v2.2.0 permite a atacantes remotos inyectar HTML o secuencias de comandos web a través de una dirección debidamente modificada en el campo From, que no se maneja correctamente cuando se indexan los mensajes.

Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en NetWin Surgemail anterirores a v4.3g permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro username_ex sobre el programa surgeweb.

Vulnerabilidad de falsificación de petición en sitios cruzados en TransWARE Active! mail v6 build v6.40.010047750 y anteriores permiten a atacantes remotos inyectar cabeceras HTTP de su elección y llevar a cabo ataques de división de respuesta HTTP a través de vectores sin especificar.

La característica 'límite de correo' en la funcionalidad control parental en la aplicación Mail de Apple Mac OS X no aplica correctamente la lista blanca de la correspondencia, lo que permite a atacantes remotos evitar determinadas restricciones de acceso y llevar a cabo una comunicación por correo electrónico…

Vulnerabilidad no especificada en la extensión powermail v1.5.3 y anteriores para TYPO3 permite a atacantes remotos evitar la validación y tener un impacto no especificado mediante "[inyección] valores arbitrarios en los campos de validación", como se ha demostrado mediante la utilización de los campos (1) Email y (2)…

Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en la extensión powermail v1.5.3 y versiones anteriores para TYPO3 permite a usuarios remotos inyectar codigo de script web o código HTML de su elección a través de vectores de ataque sin especificar.

Vulnerabilidad de inyección SQL en la extensión powermail v1.5.3 y versiones anteriores para TYPO3 permite a atacantes remotos ejecutar comandos SQL de su elección a través de vectores de ataque sin especificar.

Vulnerabilidad de salto de directorio en FileStorageUpload.ashx en SmarterMail v7.1.3876, permite a atacantes remotos leer ficheros mediante (1) ../ (punto punto barra), (2) %5C o (3) %255c en el parámetro nombre.

Vulnerabilidad de salto de directorio en la interfaz HTTP en AXIGEN Mail Server v7.4.1 para Windows permite a atacantes remotos leer archivos a su elección a través de un %5C (barra invertida codificada) en la URL.