Podatności Modoboa

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom tworzyć automatyczne odpowiedzi dla dowolnych skrzynek pocztowych, podając wartość mbox innego użytkownika. Atakujący mogą wysłać żądanie POST do /api/v2/armessages/, aby wstrzyknąć kontrolowany przez siebie temat i treść automatycznej odpowiedzi do ustawień ofiar lub zepsuć zarządzanie automatycznymi odpowiedziami poprzez błędy MultipleObjectsReturned.

Modoboa przed wersją 2.8.0 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom usuwać alarmy innych domen poprzez akcję POST /api/v2/alarms/bulk_delete/. Atakujący mogą enumerować sekwencyjne identyfikatory alarmów, aby usuwać alarmy monitorowania DNS, MX i list blokad w całym serwerze, ukrywając problemy przed odpowiedzialnymi administratorami.

Podatność w Modoboa przed wersją 2.9.0 w punkcie końcowym PUT /api/v1/accounts/{pk}/password/ umożliwia niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Administratorzy domen mogą zmienić hasło dowolnego użytkownika, w tym superadministratora, co prowadzi do pełnego przejęcia konta.