CVE-2026-125757
KrytyczneCVSS 9.1Streszczenie
W mailcow (wersja dockerized przed 2026-11) występuje podatność typu server-side template injection, która pozwala administratorom domen na wykonywanie poleceń w współdzielonym kontenerze rspamd poprzez zapisanie złośliwej stopki domenowej. Atakujący mogą osadzić makro Jinja z domyślną wartością os.execute, renderowane przez prefiltr MOO_FOOTER rspamd, aby czytać lub wstrzykiwać pocztę dla wszystkich dzierżawców i wyłączyć filtrowanie.
Ocena ryzyka
Administrator domeny może uzyskać kontrolę nad współdzielonym kontenerem rspamd, co prowadzi do naruszenia poufności i integralności poczty wszystkich dzierżawców oraz możliwości wyłączenia filtrowania spamu i zagrożeń.
Rekomendacja
Zaktualizuj mailcow do wersji zawierającej poprawkę (po 2026-11) i ogranicz uprawnienia administratorów domen, jeśli to możliwe.
Inne podatności w mailcow
Zobacz wszystkie- CVE-2017-8928Wysokie
Mailcow w wersji 0.14, używany w 'mailcow: dockerized' oraz innych produktach, zawiera podatność na ataki CSRF.
- CVE-2026-40878Niskie
W mailcow w wersjach przed 2026-03b interfejs webowy przekazuje surowy parametr $_SERVER['REQUEST_URI'] do Twig jako zmienną globalną i renderuje go w literale ciągu JavaScript w helperze setLang() w base.twig, polegając na domyślnym escapowaniu HTML zamiast escapowania w kontekście JS. Dodatkowo helper query_string() scala parametry $_GET w linki przełączania języka na stronie logowania, przez co parametry dostarczone przez atakującego są odzwierciedlane i zachowywane podczas nawigacji. Wersja 2026-03b naprawia podatność.
- CVE-2026-40874Średnie
W mailcow w wersjach przed 2026-03b brak weryfikacji uprawnień administratora przy usuwaniu Forwarding Hosts przez /api/v1/delete/fwdhost. Każdy uwierzytelniony użytkownik może wywołać ten API, co może poważnie zakłócić działanie usługi pocztowej.
- CVE-2023-34108Wysokie
W mailcow, zestawie serwera pocztowego, odkryto podatność, która pozwala atakującemu manipulować wewnętrznymi zmiennymi Dovecot poprzez specjalnie skonstruowane hasła podczas procesu uwierzytelniania. Problem wynika z działania skryptu `passwd-verify.lua`, który weryfikuje hasła użytkowników podczas prób logowania.
Oryginalny opis (angielski, źródło NVD)
mailcow: dockerized before 2026-11 contains a server-side template injection vulnerability that allows domain administrators to execute commands in the shared rspamd container by storing a malicious domain-wide footer. Attackers can embed a Jinja macro with an os.execute default value, rendered by the rspamd MOO_FOOTER prefilter, to read or inject mail for every tenant and disable filtering.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS