CVE-2026-113599
ŚrednieCVSS 5.4Streszczenie
Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom tworzyć automatyczne odpowiedzi dla dowolnych skrzynek pocztowych, podając wartość mbox innego użytkownika. Atakujący mogą wysłać żądanie POST do /api/v2/armessages/, aby wstrzyknąć kontrolowany przez siebie temat i treść automatycznej odpowiedzi do ustawień ofiar lub zepsuć zarządzanie automatycznymi odpowiedziami poprzez błędy MultipleObjectsReturned.
Ocena ryzyka
Naruszenie integralności i poufności — atakujący mogą modyfikować ustawienia automatycznych odpowiedzi ofiar, co może prowadzić do phishingu lub ujawnienia informacji. Może to również zakłócić komunikację e-mailową.
Rekomendacja
Zaktualizuj Modoboa do wersji 2.8.0 lub nowszej. Dodatkowo zaleca się monitorowanie nietypowych zmian w ustawieniach automatycznych odpowiedzi.
Inne podatności w Modoboa
Zobacz wszystkie- CVE-2026-113598Średnie
Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom usuwać alarmy innych domen poprzez akcję POST /api/v2/alarms/bulk_delete/. Atakujący mogą enumerować sekwencyjne identyfikatory alarmów, aby usuwać alarmy monitorowania DNS, MX i list blokad w całym serwerze, ukrywając problemy przed odpowiedzialnymi administratorami.
- CVE-2026-56780Wysokie
Podatność w Modoboa przed wersją 2.9.0 w punkcie końcowym PUT /api/v1/accounts/{pk}/password/ umożliwia niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Administratorzy domen mogą zmienić hasło dowolnego użytkownika, w tym superadministratora, co prowadzi do pełnego przejęcia konta.
Oryginalny opis (angielski, źródło NVD)
Modoboa before 2.8.0 contains an insecure direct object reference vulnerability that allows authenticated users to create auto-reply messages for arbitrary mailboxes by supplying another user's mbox value. Attackers can POST to /api/v2/armessages/ to inject attacker-controlled auto-reply subject and content into victims' settings or break their auto-reply management via MultipleObjectsReturned errors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS