HiveMail 是 PHP 架構的 Webmail 系統。多個腳本 (addressbook.update.php、addressbook.add.php、folders.update.php、index.php) 未過濾使用者輸入參數 (contactgroupid、messageid、folderid、URI 資料)，導致遠端攻擊者可竊取敏感資訊或以 Web 權限執行任意 PHP 命令，亦存在跨站腳本 (XSS) 風險。

受影響版本

• HiveMail 1.2.2
• HiveMail 1.3 RC1
• HiveMail 1.3 Beta 1
• HiveMail 1.3

漏洞細節

• addressbook.update.php：contactgroupid 參數未過濾，可注入 PHP 代碼。
• addressbook.add.php：messageid 參數同樣缺乏過濾。
• folders.update.php：folderid 參數同樣缺乏過濾。
• index.php：URI 資料未過濾，導致 XSS。

測試向量 (節錄)

?remove&contactgroupid=1 -- ");phpinfo();@ob_start("&submit=1...
?cmd=quick&messageid=1");phpinfo();@ob_start("&popid=1&msgid=1...
?cmd=mark&folderid=0 -- ");phpinfo();@ob_start(">alert(document.cookie);

廠商回應

截至發布時官方尚未提供修補方案，請關注 GulfTech Security Research 公告。