FreeBSD：postfixadmin -- 多种漏洞 (93688f8f-4935-11e1-89b4-001ec9578670)

medium Nessus 插件 ID 57720

语言：

简介

远程 FreeBSD 主机缺少与安全相关的更新。

描述

Postfix 管理团队报告：

存在多种 XSS 漏洞：- templates/menu.php 和 edit-vacation 中 $_GET[domain] 的 XSS 漏洞 - 某些 create-domain 输入字段中的 XSS 漏洞 - create-alias 和 edit-alias 错误消息中的 XSS 漏洞 - fetchmail 列表视图、list-domain 和 list-virtual 中的 XSS（通过数据库中存储的值）

存在多种 SQL 注入问题：- pacrypt() 中的 SQL 注入（如果 $CONF[encrypt] == ‘mysql_encrypt’）- backup.php 中的 SQL 注入 - 转储不是 mysql_escape()d，因此用户可注入 SQL（例如在休假讯息中），而还原数据库转储时将执行该 SQL。警告：通过 2.3.4 或更早版本的 backup.php 创建的数据库转储可能包含恶意 SQL。使用前务必仔细检查！