Web UI 中的跨站脚本 (XSS) 漏洞

在 mailman 中发现一个跨站脚本 (XSS) 缺陷。能够诱骗用户访问特定 URL 的攻击者可以在用户端执行任意网页脚本，并强制受害者执行意外操作。(CVE-2018-5950)

用户选项页面中缺少 CSRF 保护

在 GNU Mailman 2.1.23 之前的 2.1.x 中，用户选项页面内的跨站请求伪造 (CSRF) 漏洞可让远程攻击者针对修改选项的请求，劫持任意用户的验证，取得受害者帐户凭据的访问权即为一例。(CVE-2016-6893)

检测

Amazon Linux AMI：mailman (ALAS-2018-985)

high Nessus 插件 ID 108848

未找到变更日志