CVE-2026-81034
Açıklama
Netmaker, yapılandırılmış posta sunucusuna olan bağlantıda sertifika doğrulamasını devre dışı bırakır. pro/email/smtp.go dosyasındaki gönderici, ayarın üretim ortamında false olması gerektiğini belirten bir yorumun hemen altında, skip-verify alanı koşulsuz olarak true şeklinde ayarlanmış bir TLS yapılandırması atar. Bunu yöneten herhangi bir yapılandırma değeri yoktur ve hiçbir kod yolu doğrulamayı geri yüklemez; bu nedenle istemci, araya giren bir tarafın sundukları da dahil olmak üzere posta sunucusunun sunduğu her sertifikayı kabul eder. Netmaker'ın bu bağlantı üzerinden gönderdiği postalar, tek kullanımlık jetonlar içeren şifre sıfırlama mesajlarını ve kayıt bağlantıları içeren kullanıcı davetlerini kapsar; dolayısıyla sunucu ile posta aktarıcısı arasındaki yolda konumlanan bir taraf, iletim halindeki bu mesajları okuyabilir ve ele geçirilen sıfırlama jetonunu hedeflenen alıcıdan önce kullanabilir. Bu ayar geliştirme dalında mevcut değilken son sürümde mevcuttur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gravitl netmaker | v ≤ 1.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.