PT-2026-30728 · Unknown · Bulwark Webmail+1

Richardweinberger · Publicado 2026-04-06 · Atualizado 2026-04-06 · CVE-2026-35390

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Bulwark Webmail versões anteriores a 1.4.11

Description Bulwark Webmail, um cliente de webmail auto-hospedado para Stalwart Mail Server, foi afetado por um problema onde o proxy reverso (proxy.ts) definiu incorretamente o cabeçalho Content-Security-Policy-Report-Only em vez do cabeçalho Content-Security-Policy de aplicação. Isso permitiu que ataques de scripting entre sites (XSS) fossem registrados sem serem bloqueados. Um invasor que pudesse injetar conteúdo de script, como por meio de HTML de e-mail criado, poderia executar JavaScript arbitrário no contexto do aplicativo, potencialmente levando ao roubo de tokens de sessão ou ações não autorizadas realizadas em nome do usuário.

Recommendations Atualize o Bulwark Webmail para a versão 1.4.11 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-35390

Produtos afetados

Bulwark Webmail

Stalwart Mail Server

Referências · 4

• https://github.com/bulwarkmail/webmail/security/advisories/GHSA-6q52-98cr-qx65 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35390 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041260648966029770 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2041261103729041582 · Publicação no Twitter