CVE-2026-35390 in webmail
الملخص
بحسب VulDB • 03/06/2026
Bulwark Webmail هو عميل بريد ويب مستضاف ذاتياً لخادم Stalwart Mail Server. قبل الإصدار 1.4.11، كان الوكيل العكسي (proxy.ts) يضبط رأس Content-Security-Policy-Report-Only بدلاً من رأس Content-Security-Policy الذي يفرض الحماية. وهذا يعني أن هجمات البرمجة النصية عبر المواقع (XSS) كانت تُسجل ولكن لم يتم حظرها. يمكن لأي مستخدم قادر على حقن محتوى برمجي (على سبيل المثال، عبر HTML لبريد إلكتروني مُعدّ بشكل متلاعب) تنفيذ جافا سكريبت تعسفي في سياق التطبيق، مما قد يؤدي إلى سرقة رموز الجلسة أو تنفيذ إجراءات نيابة عن المستخدم. تم إصلاح هذا الثغرة الأمنية في الإصدار 1.4.11.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.