CVE-2026-35391 in webmail
Riassunto
di VulDB • 22/06/2026
Bulwark Webmail è un client webmail self-hosted per Stalwart Mail Server. Prima della versione 1.4.11, la funzione getClientIP() in lib/admin/session.ts si fidava della prima voce (più a sinistra) dell'intestazione X-Forwarded-For, che è completamente controllata dal client. Un attaccante potrebbe falsificare il proprio indirizzo IP di origine per eludere il rate limiting basato su IP (consentendo attacchi brute-force contro l'accesso amministrativo) o falsificare le voci del registro di audit (facendo sembrare che le attività malevole provengano da indirizzi IP arbitrari). Questa vulnerabilità è risolta nella versione 1.4.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.