CVE-2026-35389
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Bulwark Webmail przed wersją 1.4.11 weryfikacja podpisu S/MIME nie sprawdzała łańcucha zaufania certyfikatu, przez co każdy e-mail podpisany samopodpisanym lub niezaufanym certyfikatem był wyświetlany jako mający ważny podpis.
Ocena ryzyka
Atakujący może podszyć się pod nadawcę e-maila, wysyłając wiadomość z fałszywym podpisem, co może prowadzić do phishingu lub oszustwa.
Rekomendacja
Zaktualizuj Bulwark Webmail do wersji 1.4.11 lub nowszej.
Inne podatności w Bulwark Webmail
Zobacz wszystkie- CVE-2026-35391Wysokie
W Bulwark Webmail przed wersją 1.4.11 funkcja getClientIP() ufa pierwszemu (najbardziej lewemu) wpisowi nagłówka X-Forwarded-For, który jest w pełni kontrolowany przez klienta. Atakujący może sfałszować źródłowy adres IP, aby ominąć ograniczniki szybkości oparte na IP (umożliwiając ataki brute-force na panel administracyjny) lub sfałszować wpisy w dzienniku audytu.
- CVE-2026-35390Średnie
Bulwark Webmail przed wersją 1.4.11 ustawia nagłówek Content-Security-Policy-Report-Only zamiast egzekwującego Content-Security-Policy. Oznacza to, że ataki XSS są logowane, ale nie blokowane, co pozwala na wykonanie dowolnego JavaScript przez spreparowany HTML wiadomości e-mail.
- CVE-2026-34834Wysokie
Bulwark Webmail przed wersją 1.4.10 zawiera podatność w funkcji verifyIdentity(), która zwracała true przy braku ciasteczek sesyjnych. Pozwala to nieuwierzytelnionym atakującym na ominięcie zabezpieczeń i dostęp do endpointu /api/settings, umożliwiając modyfikację ustawień użytkownika.
- CVE-2026-34833Wysokie
Bulwark Webmail przed wersją 1.4.10 ujawniał hasło użytkownika w postaci jawnego tekstu w odpowiedzi JSON z endpointu GET /api/auth/session. To narażało dane logowania na przechwycenie przez przeglądarkę, lokalne pamięci podręczne i proxy sieciowe.
Oryginalny opis (angielski, źródło NVD)
Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to 1.4.11, S/MIME signature verification did not validate the certificate trust chain (checkChain: false). Any email signed with a self-signed or untrusted certificate was displayed as having a valid signature. This vulnerability is fixed in 1.4.11.