CVE-2026-81034 in Netmaker
요약
\~에 의해 VulDB • 2026. 08. 26.
Netmaker은 구성된 메일 서버와의 연결에서 인증서 검증을 비활성화합니다. pro/email/smtp.go의 발신자는 skip-verify 필드가 true로 설정된 TLS 구성을 조건 없이 할당하며, 이는 해당 설정이 프로덕션 환경에서는 false여야 한다는 주석 바로 아래에 위치해 있습니다. 이를 제어하는 구성 값은 없으며 코드의 어떤 경로에서도 검증을 복원하지 않으므로 클라이언트는 중간자 공격자가 제공하는 인증서를 포함하여 메일 서버가 제시하는 모든 인증서를 수락합니다. Netmaker이 해당 연결을 통해 전송하는 메일에는 단일 사용 토큰을 담은 비밀번호 재설정 메시지와 등록 링크를 포함한 사용자 초대장이 포함되어 있으므로, 서버와 메일 릴레이 경로 상에 위치한 공격자는 전송 중인 메시지를 읽거나 캡처된 재설정 토큰을 의도된 수신자보다 먼저 사용할 수 있습니다. 이 설정은 개발 브랜치에는 존재하지 않지만 최신 릴리스에는 포함되어 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.