CVE-2026-40875
Təsvir
mailcow: dockerized docker əsaslı açıq mənbəli groupware/e-poçt dəstidir. 2026-03b versiyasından əvvəlki versiyalarda istifadəçi panelinin "Seen successful connections" (giriş tarixçəsi) bölməsi giriş loqlarından müştəri IP ünvanını HTML escape etmədən render edir. Server loqlama üçün mənbə IP olaraq X-Real-IP başlığını etibarlı hesab etdiyi üçün hücumçu bu sahəyə HTML/JS inyeksiya edə bilər. Bu Self-XSS, qurbanı hücumçunun hesabına yönləndirmək üçün Login CSRF vasitəsilə istismar edilə bilər və daha sonra əvvəlki brauzer tabındakı e-poçtlar oxuna bilər. 2026-03b versiyası bu zəifliyi aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mailcow mailcow-dockerized | < 2026-03b | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.