CVE-2026-35391 in webmail
要約
〜によって VulDB • 2026年05月22日
Bulwark Webmailは、Stalwart Mail Server用のセルフホスト型ウェブメールクライアントです。バージョン1.4.11より前では、lib/admin/session.ts内のgetClientIP()関数が、クライアントが完全に制御可能なX-Forwarded-Forヘッダーの最初の（左端の）エントリを信頼していました。攻撃者は送信元IPアドレスを偽造して、IPベースのレート制限を回避し、管理者ログインに対するブルートフォース攻撃を可能にしたり、監査ログエントリを偽造して、悪意のあるアクティビティが任意のIPアドレスから発信されたように見せかけたりすることができました。この脆弱性は1.4.11で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.