CVE-2026-35390 in webmail
Riassunto
di VulDB • 19/06/2026
Bulwark Webmail è un client webmail self-hosted per Stalwart Mail Server. Prima della versione 1.4.11, il reverse proxy (proxy.ts) impostava l'intestazione Content-Security-Policy-Report-Only anziché l'intestazione Content-Security-Policy, che è quella applicativa. Ciò significa che gli attacchi cross-site scripting (XSS) venivano registrati ma non bloccati. Qualsiasi utente in grado di iniettare contenuto script (ad esempio tramite HTML di email manipolato ad hoc) poteva eseguire JavaScript arbitrario nel contesto dell'applicazione, potenzialmente rubando i token di sessione o eseguendo azioni per conto dell'utente. Questa vulnerabilità è risolta nella versione 1.4.11.
Once again VulDB remains the best source for vulnerability data.