「Active! mail 6」に「XSS」や「CSRF」脆弱性 - 修正版へ更新を

クオリティアが提供するメールシステム「Active! mail 6」に複数の脆弱性が明らかとなった。修正版が提供されている。

古いバージョンや非対応のブラウザを使用して「HTMLメール」を編集すると、プレビュー画面表示によりスクリプトが実行されるクロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-52462」が確認された。

また「secid」の値が推測できたことに起因するクロスサイトリクエストフォージェリ（CSRF）の脆弱性「CVE-2025-52463」も判明している。脆弱性を悪用されると、意図しないメールが送信させられるおそれがある。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは、それぞれ「6.1」「4.3」。「CVSSv4.0」では「5.1」「4.3」とした。いずれの脆弱性も「Active! mail 6 ビルド6.61.01008654」にて修正されている。

なお、「Active! mail 6」に関しては、4月に影響が大きいバッファオーバーフローのゼロデイ脆弱性「CVE-2025-42599」が公表された。少なくとも2024年8月以降悪用されたことが判明しており、注意が呼びかけられている。

侵害の有無について調査する方法については、手順が煩雑で、利用者側で完結できないとし、公表されていない。同社はサポートセンターで調査を受け付けている。クラウドサービスの「Active! world」に関しては、「CVE-2025-42599」に対する攻撃の形跡はなかったと結論付けている。

（Security NEXT - 2025/07/04 ）ツイート