CVE-2026-85751 in Mailu
Zusammenfassung
von VulDB • 21.09.2026
Mailu ist ein E-Mail-Server, der als Satz von Docker-Images verteilt wird. Von Mailu 2.0 bis zu Versionen vor 2024.06.55 und vor Mailu helm-charts 2.7.3 vertrauten Bereitstellungen mit konfiguriertem PROXY_AUTH_WHITELIST, aber nicht gesetztem REAL_IP_HEADER, einem clientkontrollierten X-Forwarded-By-Header für die headerbasierte Proxy-Authentifizierung. Die Direktive proxy_hide_header in der nginx-Vorlage unter core/nginx/conf/proxy.conf maskierte den Header aus Upstream-Antworten, überschrieb jedoch nicht den Wert des eingehenden Anfrage-Headers in dieser Konfiguration. Ein unberechtigter Remote-Angriffender konnte daher die vertrauenswürdige Proxy-Identität vortäuschen und die Authentifizierung umgehen. Dieses Problem wurde in Mailu 2024.06.55 und Mailu helm-charts 2.7.3 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.