CVE-2026-40874
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W mailcow w wersjach przed 2026-03b brak weryfikacji uprawnień administratora przy usuwaniu Forwarding Hosts przez /api/v1/delete/fwdhost. Każdy uwierzytelniony użytkownik może wywołać ten API, co może poważnie zakłócić działanie usługi pocztowej.
Ocena ryzyka
Uwierzytelniony użytkownik bez uprawnień administratora może usuwać forwarding hosty, powodując przerwy w dostarczaniu poczty lub inne zakłócenia.
Rekomendacja
Zaktualizuj mailcow do wersji 2026-03b lub nowszej. Do czasu aktualizacji ogranicz dostęp do API i monitoruj nieautoryzowane wywołania.
Inne podatności w mailcow
Zobacz wszystkie- CVE-2017-8928Wysokie
Mailcow w wersji 0.14, używany w 'mailcow: dockerized' oraz innych produktach, zawiera podatność na ataki CSRF.
- CVE-2026-40878Niskie
W mailcow w wersjach przed 2026-03b interfejs webowy przekazuje surowy parametr $_SERVER['REQUEST_URI'] do Twig jako zmienną globalną i renderuje go w literale ciągu JavaScript w helperze setLang() w base.twig, polegając na domyślnym escapowaniu HTML zamiast escapowania w kontekście JS. Dodatkowo helper query_string() scala parametry $_GET w linki przełączania języka na stronie logowania, przez co parametry dostarczone przez atakującego są odzwierciedlane i zachowywane podczas nawigacji. Wersja 2026-03b naprawia podatność.
- CVE-2023-34108Wysokie
W mailcow, zestawie serwera pocztowego, odkryto podatność, która pozwala atakującemu manipulować wewnętrznymi zmiennymi Dovecot poprzez specjalnie skonstruowane hasła podczas procesu uwierzytelniania. Problem wynika z działania skryptu `passwd-verify.lua`, który weryfikuje hasła użytkowników podczas prób logowania.
Oryginalny opis (angielski, źródło NVD)
mailcow: dockerized is an open source groupware/email suite based on docker. In versions prior to 2026-03b, no administrator verification takes place when deleting Forwarding Hosts with `/api/v1/delete/fwdhost`. Any authenticated user can call this API. Checks are only applied for edit/add actions, but deletion can still significantly disrupt the mail service. Version 2026-03b fixes the vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS