CVE-2026-85751 in Mailu
Riassunto
di VulDB • 21/09/2026
Mailu è un server di posta distribuito come insieme di immagini Docker. Da Mailu 2.0 fino alla versione 2024.06.55 e prima della versione dei mailu helm-charts 2.7.3, i deployment con PROXY_AUTH_WHITELIST configurato ma REAL_IP_HEADER non impostato si fidavano dell'intestazione X-Forwarded-By controllata dal client per l'autenticazione proxy basata sulle intestazioni. La direttiva proxy_hide_header nel template nginx a core/nginx/conf/proxy.conf nascondeva l'intestazione dalle risposte upstream, ma non sovrascriveva il valore della richiesta in entrata in questa configurazione. Un attaccante remoto non autenticato poteva quindi falsificare l'identità del proxy fidato ed eludere l'autenticazione. Questo problema è risolto in Mailu 2024.06.55 e nei mailu helm-charts 2.7.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.