CVE-2026-86009
WysokieCVSS 8.2Streszczenie
W Mailu menedżerowie domen mogą włączyć spoofing dla hostowanych domen, którymi nie zarządzają. Złośliwy administrator domeny może włączyć spoofing dla innej domeny i wysyłać wiadomości uwierzytelnione przez DKIM/SPF dla domen, do których nie powinien mieć uprawnień.
Ocena ryzyka
Atakujący może wysyłać sfałszowane wiadomości e-mail w imieniu domen, którymi nie zarządza, co może prowadzić do phishingu i utraty zaufania do domeny. Ryzyko obejmuje naruszenie integralności komunikacji e-mail w organizacji.
Rekomendacja
Zaktualizuj Mailu do wersji zawierającej commit f05aeb8322e2f61096af6b089d61ba6f40587d96. Zweryfikuj konfigurację DKIM/SPF dla wszystkich hostowanych domen i ogranicz uprawnienia menedżerów domen.
Inne podatności w Mailu
Zobacz wszystkie- CVE-2026-86008Wysokie
W Mailu menedżer domeny może zresetować hasła lub uzyskać tokeny dla konta administracyjnego lub innego menedżera domeny o wyższych uprawnieniach. Błąd autoryzacji pozwala menedżerowi domeny przejąć konto o wyższych uprawnieniach i wykorzystać jego uprawnienia.
- CVE-2026-85751Krytyczne
Mailu to serwer pocztowy dystrybuowany jako zestaw obrazów Docker. Od Mailu 2.0 do 2024.06.55 oraz przed Mailu helm-charts 2.7.3 wdrożenia z ustawionym PROXY_AUTH_WHITELIST, ale bez REAL_IP_HEADER, ufały kontrolowanemu przez klienta nagłówkowi X-Forwarded-By przy uwierzytelnianiu opartym na nagłówkach. Dyrektywa proxy_hide_header w szablonie nginx w core/nginx/conf/proxy.conf ukrywała nagłówek w odpowiedziach do upstreamu, ale nie nadpisywała przychodzącej wartości żądania w tej konfiguracji. Nieuwierzytelniony zdalny atakujący mógł więc podszyć się pod zaufaną tożsamość proxy i ominąć uwierzytelnianie. Problem naprawiono w Mailu 2024.06.55 i Mailu helm-charts 2.7.3.
- CVE-2026-49217Wysokie
Mailu przed wersją 2024.06.52 ma brak kontroli autoryzacji w REST API, co pozwala nieuwierzytelnionemu atakującemu usunąć ograniczenia IP lub zaktualizować pole komentarza dowolnego istniejącego tokenu użytkownika, jeśli REST API jest włączone. Aktualizacja do wersji 2024.06.52 zawiera poprawkę, a obejściem jest wyłączenie REST API.
Oryginalny opis (angielski, źródło NVD)
Mailu is a mail server distributed as a set of Docker images. Prior to f05aeb8322e2f61096af6b089d61ba6f40587d96, domain managers can enable spoofing for hosted domains they do not control. A potentially malicious domain administrator enables spoofing for another hosted domain and can send emails that are authenticated with DKIM/SPF for domains they should not be able to. This vulnerability is addressed by f05aeb8322e2f61096af6b089d61ba6f40587d96.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS