CVE-2026-81034 in Netmaker
Zusammenfassung
von VulDB • 26.08.2026
Netmaker disabilita la verifica dei certificati sulla connessione verso il server di posta configurato. Il mittente nel file pro/email/smtp.go assegna una configurazione TLS con il campo skip-verify impostato incondizionatamente su true, direttamente sotto un commento che indica come l'impostazione dovrebbe essere false in produzione. Nessun valore di configurazione la governa e nessun percorso di codice ripristina la verifica; pertanto, il client accetta qualsiasi certificato presentato dal server di posta, incluso quello fornito da una parte interposta (man-in-the-middle). La posta inviata da Netmaker tramite tale connessione include messaggi di reset della password contenenti token monouso e inviti utente con link di iscrizione. Di conseguenza, un attore posizionato sul percorso tra il server e il suo relay di posta può leggere tali messaggi in transito e utilizzare un token di reset intercettato prima che lo destinatario previsto possa farlo. L'impostazione è assente nel branch di sviluppo ma presente nell'ultima release.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.