CVE-2026-35390 in webmail
要約
〜によって VulDB • 2026年06月02日
Bulwark Webmailは、Stalwart Mail Server向けのセルフホスト型ウェブメールクライアントです。バージョン1.4.11より前では、リバースプロキシ（proxy.ts）が、適用されるContent-Security-Policyヘッダーではなく、Content-Security-Policy-Report-Onlyヘッダーを設定していました。これにより、クロスサイトスクリプティング（XSS）攻撃はログに記録されましたが、ブロックされませんでした。スクリプトコンテンツ（例：作成されたメールHTML経由）を注入できる任意のユーザーは、アプリケーションのコンテキスト内で任意のJavaScriptを実行でき、セッショントークンを盗み出したり、ユーザーに代わって操作を実行したりする可能性があります。この脆弱性は1.4.11で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.