CVE-2026-86008
WysokieCVSS 7.2Streszczenie
W Mailu menedżer domeny może zresetować hasła lub uzyskać tokeny dla konta administracyjnego lub innego menedżera domeny o wyższych uprawnieniach. Błąd autoryzacji pozwala menedżerowi domeny przejąć konto o wyższych uprawnieniach i wykorzystać jego uprawnienia.
Ocena ryzyka
Atakujący z uprawnieniami menedżera domeny może przejąć konto administracyjne, co prowadzi do pełnej kompromitacji serwera pocztowego. Ryzyko obejmuje nieautoryzowany dostęp do danych i możliwość dalszych ataków.
Rekomendacja
Zaktualizuj Mailu do wersji zawierającej commit 8577c929b4ade04d3cd4210cf036601abd793556. Przejrzyj konta menedżerów domen i ogranicz ich uprawnienia do niezbędnego minimum.
Inne podatności w Mailu
Zobacz wszystkie- CVE-2026-86009Wysokie
W Mailu menedżerowie domen mogą włączyć spoofing dla hostowanych domen, którymi nie zarządzają. Złośliwy administrator domeny może włączyć spoofing dla innej domeny i wysyłać wiadomości uwierzytelnione przez DKIM/SPF dla domen, do których nie powinien mieć uprawnień.
- CVE-2026-85751Krytyczne
Mailu to serwer pocztowy dystrybuowany jako zestaw obrazów Docker. Od Mailu 2.0 do 2024.06.55 oraz przed Mailu helm-charts 2.7.3 wdrożenia z ustawionym PROXY_AUTH_WHITELIST, ale bez REAL_IP_HEADER, ufały kontrolowanemu przez klienta nagłówkowi X-Forwarded-By przy uwierzytelnianiu opartym na nagłówkach. Dyrektywa proxy_hide_header w szablonie nginx w core/nginx/conf/proxy.conf ukrywała nagłówek w odpowiedziach do upstreamu, ale nie nadpisywała przychodzącej wartości żądania w tej konfiguracji. Nieuwierzytelniony zdalny atakujący mógł więc podszyć się pod zaufaną tożsamość proxy i ominąć uwierzytelnianie. Problem naprawiono w Mailu 2024.06.55 i Mailu helm-charts 2.7.3.
- CVE-2026-49217Wysokie
Mailu przed wersją 2024.06.52 ma brak kontroli autoryzacji w REST API, co pozwala nieuwierzytelnionemu atakującemu usunąć ograniczenia IP lub zaktualizować pole komentarza dowolnego istniejącego tokenu użytkownika, jeśli REST API jest włączone. Aktualizacja do wersji 2024.06.52 zawiera poprawkę, a obejściem jest wyłączenie REST API.
Oryginalny opis (angielski, źródło NVD)
Mailu is a mail server distributed as a set of Docker images. Prior to 8577c929b4ade04d3cd4210cf036601abd793556, a domain manager targeting an administrative account or another domain manager with greater privileges can reset passwords or obtain tokens for that account. This authorization failure allows a domain manager to take over a higher-privileged account and exercise that account's permissions. This vulnerability is addressed by commit 8577c929b4ade04d3cd4210cf036601abd793556.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS