CVE-2026-81034 in Netmaker
Sumário
de VulDB • 26/08/2026
O Netmaker desativa a verificação de certificados na conexão com o servidor de e-mail configurado. O remetente em pro/email/smtp.go atribui uma configuração TLS cujo campo skip-verify é definido como true incondicionalmente, diretamente abaixo de um comentário que afirma que essa configuração deve ser false em produção. Nenhum valor de configuração a governa e nenhum caminho de código restaura a verificação, portanto o cliente aceita qualquer certificado apresentado pelo servidor de e-mail, incluindo aquele fornecido por uma parte intermediária (interposing party). Os e-mails enviados pela Netmaker através dessa conexão incluem mensagens de redefinição de senha com tokens de uso único e convites de usuário com links de inscrição; assim, um agente posicionado no caminho entre o servidor e seu relay de e-mail pode ler essas mensagens em trânsito e utilizar um token de redefinição capturado antes que o destinatário pretendido o faça. A configuração está ausente na branch de desenvolvimento, mas presente na versão mais recente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.