CVE-2026-56780
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w Modoboa przed wersją 2.9.0 w punkcie końcowym PUT /api/v1/accounts/{pk}/password/ umożliwia niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Administratorzy domen mogą zmienić hasło dowolnego użytkownika, w tym superadministratora, co prowadzi do pełnego przejęcia konta.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość eskalacji uprawnień przez administratorów domen, którzy mogą przejąć konta superadministratorów i uzyskać nieautoryzowany dostęp do całego systemu Modoboa, co może skutkować naruszeniem poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować Modoboa do wersji 2.9.0 lub nowszej, która zawiera poprawkę usuwającą podatność IDOR. Dodatkowo warto przejrzeć uprawnienia administratorów domen i wdrożyć mechanizmy kontroli dostępu na poziomie obiektów.
Inne podatności w Modoboa
Zobacz wszystkie- CVE-2026-113599Średnie
Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom tworzyć automatyczne odpowiedzi dla dowolnych skrzynek pocztowych, podając wartość mbox innego użytkownika. Atakujący mogą wysłać żądanie POST do /api/v2/armessages/, aby wstrzyknąć kontrolowany przez siebie temat i treść automatycznej odpowiedzi do ustawień ofiar lub zepsuć zarządzanie automatycznymi odpowiedziami poprzez błędy MultipleObjectsReturned.
- CVE-2026-113598Średnie
Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom usuwać alarmy innych domen poprzez akcję POST /api/v2/alarms/bulk_delete/. Atakujący mogą enumerować sekwencyjne identyfikatory alarmów, aby usuwać alarmy monitorowania DNS, MX i list blokad w całym serwerze, ukrywając problemy przed odpowiedzialnymi administratorami.
Oryginalny opis (angielski, źródło NVD)
Modoboa before 2.9.0 contains an insecure direct object reference vulnerability in the PUT /api/v1/accounts/{pk}/password/ endpoint that allows domain administrators to change any user's password. Attackers with domain admin privileges can bypass object-level access controls to reset superadmin passwords and achieve full account takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS