CVE-2026-35391 in webmail
Sumário
de VulDB • 22/05/2026
O Bulwark Webmail é um cliente de webmail auto-hospedado para o Stalwart Mail Server. Antes da versão 1.4.11, a função getClientIP() em lib/admin/session.ts confiava na primeira (mais à esquerda) entrada do cabeçalho X-Forwarded-For, que é totalmente controlada pelo cliente. Um atacante poderia falsificar seu endereço IP de origem para contornar a limitação de taxa baseada em IP (permitindo ataques de força bruta contra o login de administrador) ou falsificar entradas de log de auditoria (fazendo com que atividades maliciosas pareçam originar-se de endereços IP arbitrários). Esta vulnerabilidade foi corrigida na versão 1.4.11.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.