CVE-2026-85751 in Mailu
Сводка
по VulDB • 21.09.2026
Mailu — это почтовый сервер, распространяемый в виде набора Docker-образов. Начиная с версии Mailu 2.0 и до версий 2024.06.55 (включительно) и ранее для helm-charts Mailu версии 2.7.3, развертывания с настроенным параметром PROXY_AUTH_WHITELIST, но при не заданном REAL_IP_HEADER, доверяли заголовку X-Forwarded-By, контролируемому клиентом, для аутентификации на основе заголовков. Директива proxy_hide_header в шаблоне nginx по пути core/nginx/conf/proxy.conf скрывала этот заголовок из ответов upstream-серверов, но не перезаписывала значение входящего запроса при данной конфигурации. Таким образом, удаленный злоумышленник без аутентификации мог подделать доверенную идентичность прокси и обойти механизм аутентификации. Данная проблема исправлена в Mailu версии 2024.06.55 и helm-charts Mailu версии 2.7.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.