Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • CWE-639

CVE-2026-113599

Modoboa'da API v2 armessages uç noktasında yetkisiz otomatik yanıt oluşturma (IDOR) açığı

modoboa

Orta 5,4 CVSS 3.1
Yayımlandı
Güncellendi
20 Eki 2026
Açık yaşı
8 gün
Kaydı açan
VulnCheck

ÖzetTürkçe

Modoboa 2.8.0 öncesi sürümler, güvensiz doğrudan nesne referansı (IDOR) açığı içermektedir. Bu açık, kimliği doğrulanmış kullanıcıların başka bir kullanıcının mbox değerini vererek rastgele posta kutuları için otomatik yanıt iletileri oluşturmasına olanak tanır. Saldırganlar, /api/v2/armessages/ adresine POST isteği göndererek kurbanların ayarlarına saldırgan kontrollü otomatik yanıt konusu ve içeriği enjekte edebilir veya MultipleObjectsReturned hataları üreterek kurbanların otomatik yanıt yönetimini bozabilir.

Kaynaktaki açıklama (İngilizce)

Modoboa before 2.8.0 contains an insecure direct object reference vulnerability that allows authenticated users to create auto-reply messages for arbitrary mailboxes by supplying another user's mbox value. Attackers can POST to /api/v2/armessages/ to inject attacker-controlled auto-reply subject and content into victims' settings or break their auto-reply management via MultipleObjectsReturned errors.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
modoboa < 2.8.0 2.8.0

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.