CVE-2026-85751 in Mailu
Tóm tắt
Bởi VulDB • 21/09/2026
Mailu là một máy chủ email được phân phối dưới dạng một bộ các hình ảnh Docker. Từ phiên bản Mailu 2.0 đến 2024.06.55 và trước phiên bản Mailu helm-charts 2.7.3, các triển khai có cấu hình PROXY_AUTH_WHITELIST nhưng để trống REAL_IP_HEADER đã tin tưởng vào tiêu đề X-Forwarded-By do người dùng kiểm soát cho xác thực proxy dựa trên tiêu đề. Chỉ thị proxy_hide_header trong mẫu nginx tại core/nginx/conf/proxy.conf ẩn tiêu đề này khỏi các phản hồi từ upstream nhưng không ghi đè giá trị của yêu cầu đến trong cấu hình này. Do đó, một kẻ tấn công từ xa chưa được xác thực có thể giả mạo danh tính proxy đáng tin cậy và vượt qua cơ chế xác thực. Vấn đề này đã được khắc phục trong Mailu 2024.06.55 và Mailu helm-charts 2.7.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.