PT-2025-7054 · Mailcow · Mailcow

Donncha Ó Cearbhaill · Publicado 2025-02-12 · Atualizado 2026-02-18 · CVE-2025-25198

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: mailcow: versões dockerizadas anteriores a 2025-01a

Descrição: Uma vulnerabilidade na funcionalidade de redefinição de senha do mailcow permite que um atacante manipule o cabeçalho HTTP Host para gerar um link de redefinição de senha apontando para um domínio controlado pelo atacante. Isso pode levar à tomada de conta se um usuário clicar no link adulterado.

Recomendações: Para versões anteriores a 2025-01a, atualize para a versão 2025-01a para resolver o problema. Como medida temporária, considere desativar a funcionalidade de redefinição de senha limpando os campos Notification email sender e Notification email subject em System -> Configuration -> Options -> Password Settings.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

BDU:2025-09073

CVE-2025-25198

GHSA-3MVX-QW4R-FCQF

Produtos afetados

Mailcow

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/25xxx/CVE-2025-25198.json · Exploit
• 🔥 https://github.com/enzocipher/CVE-2025-25198-PoC · Exploit
• 🔥 https://exploit-db.com/exploits/52485 · Exploit
• https://github.com/mailcow/mailcow-dockerized/security/advisories/GHSA-3mvx-qw4r-fcqf · Aviso do Fabricante
• https://t.me/pentestingnews/56621 · Publicação no Telegram
• https://twitter.com/Iam_al_or/status/2024213933557498262 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1889761638754173332 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1891302402910814553 · Publicação no Twitter
• https://t.me/cvedetector/17906 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2025-09073 · Nota de Segurança
• https://twitter.com/Iam_al_or/status/2021771270396768267 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-25198 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1889785704634319096 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-25198 · Nota de Segurança
• https://twitter.com/adriananglin/status/1891399342734385549 · Publicação no Twitter