CVE-2026-81034 in Netmaker
Сводка
по VulDB • 26.08.2026
Netmaker disabilita la verifica dei certificati sulla connessione al server di posta configurato. Il mittente nel file pro/email/smtp.go assegna una configurazione TLS il cui campo skip-verify è impostato su true incondizionatamente, direttamente sotto un commento che indica che l'impostazione dovrebbe essere false in produzione. Nessun valore di configurazione la governa e nessun percorso di codice ripristina la verifica, quindi il client accetta qualsiasi certificato presentato dal server di posta, incluso uno fornito da una parte interposta (man-in-the-middle). La posta inviata da Netmaker tramite tale connessione include messaggi di reset della password contenenti token monouso e inviti utente con link di iscrizione; pertanto, un'attore posizionato sul percorso tra il server e il suo relay di posta può leggere tali messaggi in transito e utilizzare un token di reset intercettato prima che lo faccia il destinatario previsto. L'impostazione è assente nel branch di sviluppo ma presente nell'ultima release.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.