CVE-2026-113598
ŚrednieCVSS 4.3Streszczenie
Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom usuwać alarmy innych domen poprzez akcję POST /api/v2/alarms/bulk_delete/. Atakujący mogą enumerować sekwencyjne identyfikatory alarmów, aby usuwać alarmy monitorowania DNS, MX i list blokad w całym serwerze, ukrywając problemy przed odpowiedzialnymi administratorami.
Ocena ryzyka
Naruszenie integralności i dostępności — usunięcie alarmów może ukryć krytyczne problemy z konfiguracją DNS, MX lub list blokad, prowadząc do niezauważonych awarii lub luk w zabezpieczeniach. Może to skutkować przerwami w działaniu usług i opóźnioną reakcją na incydenty.
Rekomendacja
Zaktualizuj Modoboa do wersji 2.8.0 lub nowszej. W międzyczasie rozważ ograniczenie dostępu do API usuwania alarmów i wdrożenie monitoringu zmian w alarmach.
Inne podatności w Modoboa
Zobacz wszystkie- CVE-2026-113599Średnie
Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom tworzyć automatyczne odpowiedzi dla dowolnych skrzynek pocztowych, podając wartość mbox innego użytkownika. Atakujący mogą wysłać żądanie POST do /api/v2/armessages/, aby wstrzyknąć kontrolowany przez siebie temat i treść automatycznej odpowiedzi do ustawień ofiar lub zepsuć zarządzanie automatycznymi odpowiedziami poprzez błędy MultipleObjectsReturned.
- CVE-2026-56780Wysokie
Podatność w Modoboa przed wersją 2.9.0 w punkcie końcowym PUT /api/v1/accounts/{pk}/password/ umożliwia niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Administratorzy domen mogą zmienić hasło dowolnego użytkownika, w tym superadministratora, co prowadzi do pełnego przejęcia konta.
Oryginalny opis (angielski, źródło NVD)
Modoboa before 2.8.0 contains an insecure direct object reference vulnerability that allows authenticated users to delete alarms of other domains via the POST /api/v2/alarms/bulk_delete/ action. Attackers can enumerate sequential alarm IDs to delete DNS, MX and blocklist monitoring alarms server-wide, hiding problems from responsible administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS