Bulwark Webmail — это автономный клиент веб-почты для Stalwart Mail Server. До версии 1.4.11 функция getClientIP() в lib/admin/session.ts доверяла первой (крайней левой) записи заголовка X-Forwarded-For, которая полностью контролируется клиентом. Злоумышленник может подделать свой исходный IP-адрес, чтобы обойти ограничение скорости на основе IP (позволяя атаковать методом перебора учетную запись администратора) или подделать записи журнала аудита (что создаст впечатление, что вредоносная активность исходит с произвольных IP-адресов).
Эта уязвимость исправлена в версии 1.4.11.
Показать оригинальное описание (EN)
Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to 1.4.11, the getClientIP() function in lib/admin/session.ts trusted the first (leftmost) entry of the X-Forwarded-For header, which is fully controlled by the client. An attacker could forge their source IP address to bypass IP-based rate limiting (enabling brute-force attacks against the admin login) or forge audit log entries (making malicious activity appear to originate from arbitrary IP addresses). This vulnerability is fixed in 1.4.11.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Bulwarkmail Webmail
cpe:2.3:a:bulwarkmail:webmail:*:*:*:*:*:*:*:*
|
— |
1.4.11
|