CVE-2026-49217
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Mailu przed wersją 2024.06.52 ma brak kontroli autoryzacji w REST API, co pozwala nieuwierzytelnionemu atakującemu usunąć ograniczenia IP lub zaktualizować pole komentarza dowolnego istniejącego tokenu użytkownika, jeśli REST API jest włączone. Aktualizacja do wersji 2024.06.52 zawiera poprawkę, a obejściem jest wyłączenie REST API.
Ocena ryzyka
Nieautoryzowany atakujący może osłabić zabezpieczenia tokenów, co może prowadzić do nieautoryzowanego dostępu do kont użytkowników i naruszenia bezpieczeństwa systemu pocztowego.
Rekomendacja
Zaktualizuj Mailu do wersji 2024.06.52 lub nowszej, a jeśli nie jest to możliwe, wyłącz REST API.
Inne podatności w Mailu
Zobacz wszystkie- CVE-2026-86008Wysokie
W Mailu menedżer domeny może zresetować hasła lub uzyskać tokeny dla konta administracyjnego lub innego menedżera domeny o wyższych uprawnieniach. Błąd autoryzacji pozwala menedżerowi domeny przejąć konto o wyższych uprawnieniach i wykorzystać jego uprawnienia.
- CVE-2026-85751Krytyczne
Mailu to serwer pocztowy dystrybuowany jako zestaw obrazów Docker. Od Mailu 2.0 do 2024.06.55 oraz przed Mailu helm-charts 2.7.3 wdrożenia z ustawionym PROXY_AUTH_WHITELIST, ale bez REAL_IP_HEADER, ufały kontrolowanemu przez klienta nagłówkowi X-Forwarded-By przy uwierzytelnianiu opartym na nagłówkach. Dyrektywa proxy_hide_header w szablonie nginx w core/nginx/conf/proxy.conf ukrywała nagłówek w odpowiedziach do upstreamu, ale nie nadpisywała przychodzącej wartości żądania w tej konfiguracji. Nieuwierzytelniony zdalny atakujący mógł więc podszyć się pod zaufaną tożsamość proxy i ominąć uwierzytelnianie. Problem naprawiono w Mailu 2024.06.55 i Mailu helm-charts 2.7.3.
- CVE-2026-86009Wysokie
W Mailu menedżerowie domen mogą włączyć spoofing dla hostowanych domen, którymi nie zarządzają. Złośliwy administrator domeny może włączyć spoofing dla innej domeny i wysyłać wiadomości uwierzytelnione przez DKIM/SPF dla domen, do których nie powinien mieć uprawnień.
Oryginalny opis (angielski, źródło NVD)
Mailu is a mail server as a set of Docker images. Prior to version 2024.06.52, a missing authorization check in the Mailu admin REST API allows any unauthenticated attacker to remove any potential IP restriction or update the comment field from any existing user token provided the REST API is enabled. Upgrade to Mailu 2024.06.52 to receive a patch or, as a workaround, turn the REST API off.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS