CVE-2026-113728
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W Bulwark Webmail przed wersją 1.9.2 nieuwierzytelniony endpoint POST /api/fetch-ical waliduje nazwę hosta jednym zapytaniem DNS, a następnie wykonuje osobne zapytanie przy połączeniu. Atakujący kontrolujący autorytatywny DNS może zwrócić adres publiczny podczas walidacji, a następnie przemapować nazwę na adres loopback, prywatny, link-local lub metadanych chmury, powodując zwrócenie do 10 MB wewnętrznej odpowiedzi HTTP/HTTPS.
Ocena ryzyka
Luka SSRF umożliwia atakującemu dostęp do zasobów wewnętrznych i metadanych chmury, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Bulwark Webmail do wersji 1.9.2 lub nowszej i rozważ blokowanie żądań do adresów prywatnych oraz metadanych na poziomie sieci.
Inne podatności w Bulwark Webmail
Zobacz wszystkie- CVE-2026-35391Wysokie
W Bulwark Webmail przed wersją 1.4.11 funkcja getClientIP() ufa pierwszemu (najbardziej lewemu) wpisowi nagłówka X-Forwarded-For, który jest w pełni kontrolowany przez klienta. Atakujący może sfałszować źródłowy adres IP, aby ominąć ograniczniki szybkości oparte na IP (umożliwiając ataki brute-force na panel administracyjny) lub sfałszować wpisy w dzienniku audytu.
- CVE-2026-35390Średnie
Bulwark Webmail przed wersją 1.4.11 ustawia nagłówek Content-Security-Policy-Report-Only zamiast egzekwującego Content-Security-Policy. Oznacza to, że ataki XSS są logowane, ale nie blokowane, co pozwala na wykonanie dowolnego JavaScript przez spreparowany HTML wiadomości e-mail.
- CVE-2026-35389Wysokie
W Bulwark Webmail przed wersją 1.4.11 weryfikacja podpisu S/MIME nie sprawdzała łańcucha zaufania certyfikatu, przez co każdy e-mail podpisany samopodpisanym lub niezaufanym certyfikatem był wyświetlany jako mający ważny podpis.
- CVE-2026-34834Wysokie
Bulwark Webmail przed wersją 1.4.10 zawiera podatność w funkcji verifyIdentity(), która zwracała true przy braku ciasteczek sesyjnych. Pozwala to nieuwierzytelnionym atakującym na ominięcie zabezpieczeń i dostęp do endpointu /api/settings, umożliwiając modyfikację ustawień użytkownika.
- CVE-2026-34833Wysokie
Bulwark Webmail przed wersją 1.4.10 ujawniał hasło użytkownika w postaci jawnego tekstu w odpowiedzi JSON z endpointu GET /api/auth/session. To narażało dane logowania na przechwycenie przez przeglądarkę, lokalne pamięci podręczne i proxy sieciowe.
Oryginalny opis (angielski, źródło NVD)
Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to 1.9.2, the unauthenticated POST /api/fetch-ical endpoint validates a caller-supplied hostname with one DNS lookup and then passes the URL to fetch, which performs a separate lookup for the socket connection. An attacker controlling authoritative DNS can return a public address during validation and then rebind the hostname to a loopback, private, link-local, or cloud metadata address for the connection, causing the server to return up to 10 MB of an internal HTTP or HTTPS response. The same check-then-fetch pattern also existed in authenticated JMAP login and TOTP token-exchange flows. This issue is fixed in version 1.9.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS