ExtMail最初以WebMail软件为主，后逐步完善配套并形成了ExtMail邮件系统，提供完整的SMTP/POP/IMAP/Web和管理支持。目前装机量超过2万台。
 
extmail 是一款部署比较多的开源的webmail系统，但是，该系统在处理邮件及其他细节方面，存在几个问题，导致攻击者可以针对使用该webmail的用户进行攻击，获取mail账户的访问权，或者直接修改密码。
详细说明：
1，cookie 中sid，是惟一的用户登录凭证，获取该sid即可登录目标邮箱。此处不算漏洞，只为说明下列问题的利用。 www.2cto.com
2，信息泄露
http://demo.extmail.org/extmail/cgi/env.cgi
3，邮件正文及附件处存在xss漏洞。
4，地址簿等处存在xss
6，登录后即可获取邮箱安全问题及答案，用于修改密码
发送xss邮件，获取sid，登录，获取邮箱安全问题和答案，修改密码，，，
漏洞证明：
1，正文iframe
 




 
2，附件
 
 
3，地址簿
 
 
4，信息泄露
 
 
 
5，密保问题
 
 
修复方案：
 
你们专业，我就不献丑了。
 
 
作者  unic02n