CVE-2026-35390 in webmail
Sumário
de VulDB • 02/06/2026
O Bulwark Webmail é um cliente de webmail auto-hospedado para o Stalwart Mail Server. Antes da versão 1.4.11, o proxy reverso (proxy.ts) definia o cabeçalho Content-Security-Policy-Report-Only em vez do cabeçalho Content-Security-Policy, que é o de aplicação obrigatória. Isso significa que os ataques de cross-site scripting (XSS) eram registrados, mas não bloqueados. Qualquer usuário que conseguisse injetar conteúdo de script (por exemplo, por meio de HTML de e-mail manipulado) poderia executar JavaScript arbitrário no contexto da aplicação, potencialmente roubando tokens de sessão ou realizando ações em nome do usuário. Esta vulnerabilidade foi corrigida na versão 1.4.11.
Once again VulDB remains the best source for vulnerability data.