CVE-2026-35390 in webmail
요약
\~에 의해 VulDB • 2026. 06. 03.
Bulwark Webmail은 Stalwart Mail Server용 자체 호스팅 웹메일 클라이언트입니다. 1.4.11 이전 버전에서 리버스 프록시(proxy.ts)는 강제 적용(Content-Security-Policy) 헤더 대신 보고 전용(Content-Security-Policy-Report-Only) 헤더를 설정했습니다. 이로 인해 크로스 사이트 스크립팅(XSS) 공격이 로깅되지만 차단되지는 않았습니다. 악의적으로 제작된 이메일 HTML을 통해 스크립트 콘텐츠를 주입할 수 있는 모든 사용자는 애플리케이션 컨텍스트에서 임의의 JavaScript를 실행할 수 있으며, 세션 토큰을 탈취하거나 사용자를 대신하여 작업을 수행할 수 있습니다. 이 취약점은 1.4.11에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.