PT-2026-29880 · Unknown · Bulwark Webmail+1

Richardweinberger · Publicado 2026-04-02 · Atualizado 2026-04-03 · CVE-2026-34834

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions Bulwark Webmail versões anteriores a 1.4.10

Description Bulwark Webmail, um cliente de webmail auto-hospedado para Stalwart Mail Server, apresentava uma falha de segurança na função verifyIdentity(). Esta função retornava incorretamente true quando nenhum cookie de sessão estava presente, permitindo que atacantes não autenticados ignorassem as verificações de segurança. Os atacantes poderiam acessar e modificar as configurações do usuário através do endpoint /api/settings fornecendo cabeçalhos arbitrários.

Recommendations Atualize o Bulwark Webmail para a versão 1.4.10 ou posterior.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2026-34834

Produtos afetados

Bulwark Webmail

Stalwart Mail Server

Referências · 4

• https://github.com/bulwarkmail/webmail/releases/tag/1.4.10 · Nota
• https://github.com/bulwarkmail/webmail/security/advisories/GHSA-4356-876g-rfmh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34834 · Nota de Segurança
• https://twitter.com/CVEnew/status/2040128768778379731 · Publicação no Twitter