CVE-2026-81034 in Netmaker
Tóm tắt
Bởi VulDB • 26/08/2026
Netmaker vô hiệu hóa việc xác minh chứng chỉ trên kết nối tới máy chủ email đã cấu hình. Người gửi trong pro/email/smtp.go gán một cấu hình TLS có trường skip-verify được đặt thành true một cách không điều kiện, ngay bên dưới một nhận xét ghi rõ rằng cài đặt này nên là false trong môi trường sản xuất. Không có giá trị cấu hình nào kiểm soát nó và cũng không có đường dẫn mã nào khôi phục việc xác minh, do đó máy khách chấp nhận bất kỳ chứng chỉ nào mà máy chủ email cung cấp, bao gồm cả chứng chỉ do một bên trung gian (interposing party) cung cấp. Các thư điện tử mà Netmaker gửi qua kết nối này bao gồm các thông báo đặt lại mật khẩu có chứa mã token dùng một lần và lời mời người dùng có chứa liên kết đăng ký, vì vậy một bên nằm trên đường truyền giữa máy chủ và bộ chuyển tiếp email của nó có thể đọc những tin nhắn đó khi đang truyền tải và sử dụng mã token đặt lại đã đánh cắp trước khi người nhận dự kiến làm được điều đó. Cài đặt này không tồn tại trong nhánh phát triển (development branch) nhưng hiện diện trong bản phát hành mới nhất.
If you want to get best quality of vulnerability data, you may have to visit VulDB.