Несколько уязвимостей было обнаружено в SqurrelMail, которые могут быть использованы для проведения XSS, фишинг атак, выполнения произвольного кода. * CVE-2009-1578 - недостаточная проверка данных, передаваемых в переменных окружения PHP_SELF, QUERY_STRING в functions/global.php, а также входных данных в форме contrib/decrypt_headers.php, позволяет внедрять html/script код в страницу * CVE-2009-1579 - возможность выполнения произвольного кода, в случае если SqureelMail настроен на использование функциональности "map_yp_alias" * CVE-2009-1580 - возможность получения контроля над сессией злоумышленником, если существует возможность изменять cookie в браузере клиента (например, через XSS-атаку) * CVE-2009-1581 - XSS и фишинг атаки через специально сформированное HTML-письмо с использованием CSS позиционирования. Upstream выпустил исправление в новой версии 1.4.18
Если текущий майнтэйнер занят, могу заняться через некоторое время.
fixed in sisyphus
closed
