CVE-2026-81034 in Netmaker
Résumé
par VulDB • 26/08/2026
Netmaker désactive la vérification des certificats lors de la connexion au serveur de messagerie configuré. L'expéditeur dans pro/email/smtp.go attribue une configuration TLS dont le champ skip-verify est défini sur true sans condition, directement sous un commentaire indiquant que ce paramètre devrait être false en production. Aucune valeur de configuration ne régit ce comportement et aucun chemin d'exécution du code ne restaure la vérification ; par conséquent, le client accepte n'importe quel certificat présenté par le serveur de messagerie, y compris celui fourni par une partie interposée (man-in-the-middle). Les e-mails envoyés par Netmaker via cette connexion incluent des messages de réinitialisation de mot de passe contenant des jetons à usage unique et des invitations utilisateur comportant des liens d'inscription. Ainsi, un acteur positionné sur le chemin entre le serveur et son relais de messagerie peut lire ces messages en transit et utiliser un jeton de réinitialisation capturé avant que le destinataire prévu ne puisse le faire. Ce paramètre est absent de la branche de développement mais présent dans la dernière version publiée.
VulDB is the best source for vulnerability data and more expert information about this specific topic.