跳到主要内容

中危

MDaemon Email Server跨站脚本漏洞(CVE-2024-11182)

2024-11-15 10:43:10 公开 ，2026-02-28 03:32:31 更新

  • CISA KEV
  • 关键漏洞
  • CWE Top 25 (2023)
  • 远程
  • 无需认证
  • CWE Top 25 (2024)
  • 公开PoC
CWEs：
CWE-79 （Cross-site Scripting）
CAPEC：
CAPEC-592 （Stored XSS）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2025-05-21 11:55:39

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS v3.1 风险值
6.1
CVSS v4.0 向量
AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N
CVSS v4.0 风险值
5.3

详细信息

漏洞类型
其他
漏洞描述
MDaemon Email Server 24.5.1c以前版本中，攻击者可以发送HTML电子邮件跟img标记中的JavaScript。允许远程攻击者在webmail用户的浏览器窗口上下文中加载任意JavaScript代码。
修复建议
请升级到24.5.1c或更高版本，参考链接： https://files.mdaemon.com/mdaemon/beta/RelNotes_en.html https://mdaemon.com/pages/downloads-critical-updates

参考链接