CVE-2017-8928
WysokieStreszczenie
Mailcow w wersji 0.14, używany w 'mailcow: dockerized' oraz innych produktach, zawiera podatność na ataki CSRF.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia nieautoryzowanych działań w imieniu zalogowanego użytkownika, co może prowadzić do utraty danych lub naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji mailcow, która eliminuje tę podatność oraz wdrożenie dodatkowych zabezpieczeń przed atakami CSRF.
Inne podatności w mailcow 0.14
Zobacz wszystkie- CVE-2026-40878Niskie
W mailcow w wersjach przed 2026-03b interfejs webowy przekazuje surowy parametr $_SERVER['REQUEST_URI'] do Twig jako zmienną globalną i renderuje go w literale ciągu JavaScript w helperze setLang() w base.twig, polegając na domyślnym escapowaniu HTML zamiast escapowania w kontekście JS. Dodatkowo helper query_string() scala parametry $_GET w linki przełączania języka na stronie logowania, przez co parametry dostarczone przez atakującego są odzwierciedlane i zachowywane podczas nawigacji. Wersja 2026-03b naprawia podatność.
- CVE-2026-40874Średnie
W mailcow w wersjach przed 2026-03b brak weryfikacji uprawnień administratora przy usuwaniu Forwarding Hosts przez /api/v1/delete/fwdhost. Każdy uwierzytelniony użytkownik może wywołać ten API, co może poważnie zakłócić działanie usługi pocztowej.
- CVE-2023-34108Wysokie
W mailcow, zestawie serwera pocztowego, odkryto podatność, która pozwala atakującemu manipulować wewnętrznymi zmiennymi Dovecot poprzez specjalnie skonstruowane hasła podczas procesu uwierzytelniania. Problem wynika z działania skryptu `passwd-verify.lua`, który weryfikuje hasła użytkowników podczas prób logowania.
Oryginalny opis (angielski, źródło NVD)
mailcow 0.14, as used in "mailcow: dockerized" and other products, has CSRF.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS