Exécution de code à distance dans NetGain EM Plus 10.1.68 via script_test.jsp

Cette vulnérabilité est particulièrement critique car elle permet à un attaquant de prendre le contrôle total du serveur NetGain EM Plus sans aucune authentification préalable. L'attaquant peut exploiter cette faille en envoyant des requêtes POST malveillantes au point de terminaison script_test.jsp, en incluant des commandes shell dans le paramètre 'content'. L'exécution réussie de ces commandes permet à l'attaquant de compromettre le système, d'accéder aux données sensibles, d'installer des logiciels malveillants, ou d'utiliser le serveur comme point de pivot pour attaquer d'autres systèmes sur le réseau. La nature non authentifiée de l'exploitation rend cette vulnérabilité particulièrement dangereuse, car elle peut être exploitée par n'importe quel attaquant ayant accès au réseau.

Organizations utilizing NetGain EM Plus for email management, particularly those running vulnerable versions 10.1.68–10.1.68, are at significant risk. Shared hosting environments where multiple users share the same server are especially vulnerable, as a compromised account could potentially be used to exploit this vulnerability.

• windows / other: Monitor NetGain EM Plus server logs for POST requests to script_test.jsp with unusual or suspicious content in the 'content' parameter. Use Sysinternals tools like Process Monitor to observe process creation and command-line arguments. • linux / server: Monitor system logs (e.g., /var/log/syslog, /var/log/auth.log) for unusual process executions or command-line activity related to the NetGain EM Plus installation directory. Use auditd to track file access and modifications. • generic web: Use curl or wget to test the script_test.jsp endpoint with a benign POST request and verify that it does not execute arbitrary commands. Examine response headers for unexpected content or errors.

1. 2026-03-11Disclosure

   disclosure

1. Réservé2026-02-22
2. Publiée2026-03-11
3. Modifiée2026-04-07
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour NetGain EM Plus vers une version corrigée dès que possible. En attendant la mise à jour, des mesures d'atténuation peuvent être mises en place. Il est recommandé de désactiver temporairement l'accès public au point de terminaison scripttest.jsp. Si cela n'est pas possible, configurez un pare-feu d'application web (WAF) pour bloquer les requêtes POST contenant des commandes shell suspectes dans le paramètre 'content'. Surveillez attentivement les journaux du serveur pour détecter toute activité suspecte, en particulier les requêtes POST vers scripttest.jsp. Après la mise à jour, vérifiez que la vulnérabilité a été corrigée en effectuant une requête POST avec une commande shell inoffensive et en vérifiant que la commande n'est pas exécutée.