Axigen WebMail 格納型XSS脆弱性（CVE-2025-68643） 主要情報 脆弱性タイプ: クロスサイトスクリプティング（XSS） 影響を受けるコンポーネント: Axigen WebMail 影響を受けるバージョン: - Axigen 10.3.x、10.4.x、10.5.x ～ 10.5.56（10.5.57で修正済み） - Axigen 10.6.x ～ 10.6.25（10.6.26で修正済み） 前提条件: 攻撃者はまず、別の脆弱性を悪用したり、侵害された認証情報を使用したりして、 アカウント設定を侵害する必要がある（多段階攻撃）。 説明: - Axigen WebMailは、ストレージから読み込まれる際に アカウント設定パラメータのサニタイズを行いません。 - 攻撃は以下の2つの段階で構成されます： 1. 初期侵害： アカウント設定を悪意のあるペイロードに書き換える。 2. ペイロード実行：注入されたペイロードにより、リソースの読み込みが攻撃者が制御するサーバーにリダイレクトされ、悪意のあるJavaScriptの実行が可能になる。 影響: クレデンシャルの盗難、セッションハイジャック、データ漏洩。 対策: WebAdminから更新を行う。