PT-2024-5831 · Mailcow · Mailcow

Julian B · Publicado 2024-08-05 · Atualizado 2024-09-19 · CVE-2024-41959

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:C

Nome do software vulnerável e versões afetadas

mailcow: versões em Docker anteriores à 2024-07

Descrição

A vulnerabilidade permite que um invasor não autenticado injete uma carga de JavaScript nos registros da API. Essa carga é executada quando a página de registros da API é visualizada, permitindo potencialmente que um invasor execute scripts maliciosos no contexto do navegador do usuário. Isso pode levar a ações não autorizadas, roubo de dados ou exploração adicional do sistema afetado.

Recomendações

Para versões anteriores a 2024-07, atualize para a versão 2024-07 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página de logs da API até que a atualização seja aplicada. Evite visualizar a página de logs da API a partir de uma fonte não confiável para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2024-06576

CVE-2024-41959

GHSA-V3R3-8F69-PH29

Produtos afetados

Mailcow

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41959.json · Exploit
• https://github.com/mailcow/mailcow-dockerized/security/advisories/GHSA-jpp8-rhg6-4vvv · Nota
• https://github.com/mailcow/mailcow-dockerized/commit/efb2572f0fa57628ad98a76a4ae884a10cac0a1a · Nota
• https://github.com/mailcow/mailcow-dockerized/security/advisories/GHSA-v3r3-8f69-ph29 · Nota
• https://github.com/mailcow/mailcow-dockerized/commit/66aa28b5de282fc037e0d2f02fbdc84539b614a1 · Correção
• https://osv.dev/vulnerability/CVE-2024-41959 · Aviso do Fabricante
• https://vuldb.com/?id.273655 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-41959 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-06576 · Nota de Segurança
• https://t.me/cvedetector/2486 · Publicação no Telegram