CVE-2026-81034 in Netmaker
الملخص
بحسب VulDB • 26/08/2026
تعطّل Netmaker التحقق من الشهادات (certificate verification) عند الاتصال بخادم البريد الإلكتروني المُعدّ مسبقاً. يقوم المرسل في الملف pro/email/smtp.go بتعيين تكوين TLS يكون فيه حقل skip-verify مُضبطاً على القيمة true بشكل غير مشروط، وذلك مباشرةً تحت تعليق يوضح أن هذا الإعداد يجب أن يكون false في بيئة الإنتاج. لا تحكم أي قيمة إعدادية هذه السلوك ولا يوجد مسار كودي يعيد تفعيل التحقق من الشهادات؛ وبالتالي يقبل العميل أي شهادة يقدمها خادم البريد الإلكتروني، بما في ذلك الشهادة التي يوفرها طرف متطفل (interposing party). تتضمن رسائل البريد الإلكتروني التي ترسلها Netmaker عبر هذا الاتصال رسائل إعادة تعيين كلمة المرور الحاملة لرموز ذات استخدام واحد (single-use tokens)، ودعوات المستخدمين الحاملة لروابط التسجيل؛ لذا يمكن لطرف موجود على المسار بين الخادم ووسيطه البريدي قراءة هذه الرسائل أثناء انتقالها واستخدام رمز الاسترداد الملتقط قبل أن يستخدمه المستلم المقصود. هذا الإعداد غائب عن فرع التطوير (development branch) لكنه حاضر في أحدث إصدار.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.