CVSS: 4.3EPSS: 1%CPEs: 176EXPL: 4CVE-2009-1467 – IceWarp Merak Mail Server 9.4.1 - 'cleanHTML()' Cross-Site Scripting
https://notcve.org/view.php?id=CVE-2009-1467
Multiple cross-site scripting (XSS) vulnerabilities in IceWarp eMail Server and WebMail Server before 9.4.2 allow remote attackers to inject arbitrary web script or HTML via (1) the body of a message, related to the email view and incorrect HTML filtering in the cleanHTML function in server/inc/tools.php; or the (2) title, (3) link, or (4) description element in an RSS feed, related to the getHTML function in server/inc/rss/item.php. Múltiples vulnerabilidades de secuencias de comandos en sitios cruzados (XSS) en IceWarp eMail Server y WebMail Server anteriores a v9.4.2 permite a atacantes remotos inyectar secuencias de comandos web o HTML de forma arbitraria a través de (1) el cuerpo del mensaje, relacionado con la vista del correo electrónico y el incorrecto filtrado HTML en la función "cleanHTML" en server/inc/tools.php; o (2) el titulo, (3) enlace o (4)el elemento descripción en un RSS, relacionado con la función gerHTML en server/inc/rss/item.php. RedTeam Pentesting discovered a cross site scripting vulnerability in the RSS Feed Reader functionality of the IceWarp WebMail Server version 9.4.1. • https://www.exploit-db.com/exploits/32969 https://www.exploit-db.com/exploits/32985 http://osvdb.org/54226 http://osvdb.org/54227 http://www.redteam-pentesting.de/advisories/rt-sa-2009-001 http://www.redteam-pentesting.de/advisories/rt-sa-2009-002 http://www.securityfocus.com/archive/1/503225/100/0/threaded http://www.securityfocus.com/archive/1/503229/100/0/threaded http://www.securityfocus.com/bid/34825 http://www.securitytracker.com/id?1022167 http://www. • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 0%CPEs: 176EXPL: 2CVE-2009-1469 – IceWarp Merak Mail Server 9.4.1 - 'Forgot Password' Input Validation
https://notcve.org/view.php?id=CVE-2009-1469
CRLF injection vulnerability in the Forgot Password implementation in server/webmail.php in IceWarp eMail Server and WebMail Server before 9.4.2 makes it easier for remote attackers to trick a user into disclosing credentials via CRLF sequences preceding a Reply-To header in the subject element of an XML document, as demonstrated by triggering an e-mail message from the server that contains a user's correct credentials, and requests that the user compose a reply that includes this message. Vulnerabilidad de inyección CRLF en la implementación Forgot Password en server/webmail.php en IceWarp eMail Server y WebMail Server anterior a v9.4.2 hace mas facil para atacantes remotos engañar a un usuario para la revelación de credenciales a través de secuencias CRLF precediendo una cabecera de respuesta en el elemento "subject" de un documento XML, como se demostró mediante el envío de un mensaje de correo electrónico que contenga las credenciales de usuario desde el servidor, las peticiones para componer la respuesta al usuario, incluyen este mensaje. RedTeam Pentesting discovered that the emails sent by the IceWarp WebMail Server when using the "Forgot Password" function are generated on the client side. Version 9.4.1 is affected. • https://www.exploit-db.com/exploits/32986 http://osvdb.org/54229 http://www.redteam-pentesting.de/advisories/rt-sa-2009-004 http://www.securityfocus.com/archive/1/503227/100/0/threaded http://www.securityfocus.com/bid/34827 http://www.securitytracker.com/id?1022166 http://www.vupen.com/english/advisories/2009/1253 https://exchange.xforce.ibmcloud.com/vulnerabilities/50332 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 2CVE-2009-1516 – Icewarp Merak Mail Server 9.4.1 - 'Base64FileEncode()' Buffer Overflow (PoC)
https://notcve.org/view.php?id=CVE-2009-1516
Stack-based buffer overflow in the IceWarpServer.APIObject ActiveX control in api.dll in IceWarp Merak Mail Server 9.4.1 might allow context-dependent attackers to execute arbitrary code via a large value in the second argument to the Base64FileEncode method, as possibly demonstrated by a web application that accepts untrusted input for this method. Desbordamiento de búfer en el control ActiveX en IceWarpServer.APIObject en api.dll en IceWarp Merak Mail Server v9.4.1, permite a atacantes, dependiendo del contexto, ejecutar código de su elección a través de un valor largo en el segundo argumento del método Base64FileEncode, como se demostró posiblemente por una aplicación web que acepte entradas inseguras de este método. • https://www.exploit-db.com/exploits/8542 http://www.securityfocus.com/bid/34739 • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2008-5734
https://notcve.org/view.php?id=CVE-2008-5734
Cross-site scripting (XSS) vulnerability in WebMail Pro in IceWarp Software Merak Mail Server 9.3.2 allows remote attackers to inject arbitrary web script or HTML via an IMG element in an HTML e-mail message. Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en WebMail Pro en IceWarp Software Merak Mail Server 9.3.2 permite a atacantes remotos inyectar secuencias de comandos web de su elección o HTML mediante un elementos IMG en un mensaje e-mail en formato HTML. • http://blog.vijatov.com/index.php?itemid=11 http://osvdb.org/50885 http://secunia.com/advisories/32770 http://www.securityfocus.com/bid/32969 https://exchange.xforce.ibmcloud.com/vulnerabilities/47533 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2007-5046
https://notcve.org/view.php?id=CVE-2007-5046
Cross-site scripting (XSS) vulnerability in the Webmail interface for IceWarp Merak Mail Server before 9.0.0 allows remote attackers to inject arbitrary JavaScript via a javascript: URI in an attribute of an element in an email message body, as demonstrated by the onload attribute in a BODY element. Vulnerabilidad de secuencia de comandos en sitios cruzados (XSS) en la interfaz Webmail para ceWarp Merak Mail Server anterior a 9.0.0 permite a atacantes remotos inyectar JavaScript de su elección a través de un javascript: URI en un atributo de un elemento en el cuerpo de un mensaje, como se demostró con el atributo onload en un elemento BODY. • http://osvdb.org/37428 http://secunia.com/advisories/26877 http://www.mwrinfosecurity.com/publications/mwri_merak-webmail-xss-advisory_2008-09-17.pdf http://www.securityfocus.com/bid/25708 http://www.vupen.com/english/advisories/2007/3225 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •