PT-2026-34053 · Mailcow · Mailcow

CVE-2026-40872 · Publicado 2026-04-21 · Atualizado 2026-04-22

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N

Name of the Vulnerable Software and Affected Versions mailcow: dockerized versões anteriores a 2026-03b

Description Os logs de Autodiscover do painel de administração não realizam a filtragem (HTML escaping) do valor EMailAddress, que é registrado no campo user. Um invasor não autenticado pode enviar uma requisição de Autodiscover manipulada contendo HTML ou JavaScript no parâmetro EMailAddress. Esse payload é armazenado no Redis e executado posteriormente no navegador de um administrador que visualize os logs de Autodiscover. Trata-se de um problema de Cross-Site Scripting (XSS) Armazenado, onde um script malicioso é guardado permanentemente no servidor alvo.

Recommendations Atualizar para a versão 2026-03b.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

CWE-80

Identificadores relacionados

CVE-2026-40872

GHSA-F9XF-VC72-RCGM

Produtos afetados

Mailcow

Referências · 8

• 🔥 https://github.com/mailcow/mailcow-dockerized/security/advisories/GHSA-f9xf-vc72-rcgm · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/40xxx/CVE-2026-40872.json · Exploit
• https://twitter.com/VulmonFeeds/status/2046738289277685788 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-40872 · Aviso do Fabricante
• https://twitter.com/autumn_good_35/status/2046945917941768413 · Publicação no Twitter
• https://twitter.com/CCBalert/status/2046936612379001000 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2046675476580540838 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40872 · Nota de Segurança