CVE-2025-61541 in Webmin
要約
〜によって VulDB • 2026年07月20日
Webmin 2.510には、パスワードリセット機能（forgot_send.cgi）におけるHost Header Injectionの脆弱性が存在します。ユーザーに送信されるリセットリンクは、get_webmin_email_url()関数を使用してHTTP Hostヘッダーに基づいて構築されます。攻撃者はHostヘッダーを操作して、リセットメール内に悪意のあるドメインを注入することができます。被害者がこの改ざんされたリンクをクリックすると、攻撃者はリセットトークンを傍受し、対象アカウントの完全な制御を得ることができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.