CVE-2026-40872: mailcow: dockerized - XSS armazenado nos logs do Autodiscover no painel administrativo
O mailcow: dockerized apresenta uma falha de cross-site scripting armazenado nos logs do Autodiscover exibidos no painel administrativo, em que o valor EMailAddress é renderizado sem escape de HTML. Segundo o registro, o conteúdo pode ser enviado por uma requisição Autodiscover não autenticada e é executado quando um administrador visualiza os logs. O registro informa que a versão 2026-03b corrige o problema, e o CNA classifica a falha como crítica, com pontuação CVSS 4.0 de 9.3.
Visão geral
O aviso descreve uma falha de cross-site scripting armazenado no mailcow: dockerized, uma suíte de groupware e e-mail de código aberto baseada em Docker. Os logs do Autodiscover exibidos no painel administrativo renderizam o valor EMailAddress sem escape de HTML.
Impacto
- Segundo o registro, o conteúdo injetado é armazenado no Redis e executado no navegador de um administrador que visualiza os logs do Autodiscover.
- O vetor CVSS 4.0 do registro indica alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável, com necessidade de interação do usuário.
- O impacto real em cada ambiente depende da sessão e do contexto do administrador. Trata-se de uma inferência, não de uma afirmação das fontes.
Produtos e versões afetados
- Produto: mailcow: dockerized.
- Afetados: versões anteriores à 2026-03b, conforme a descrição.
- Corrigida: versão 2026-03b, conforme a descrição.
- Os campos estruturados de versões afetadas e correções do registro estão vazios; as informações de versão vêm da descrição e da referência do aviso no GitHub.
Status de exploração
O registro indica kev.listed como falso. Nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS do registro é 0,00444, com percentil de 0,36798, que é uma estimativa de probabilidade e não evidência de exploração.
Remediação e mitigação
- Atualize o mailcow: dockerized para a versão 2026-03b ou superior, conforme o registro.
- Consulte o aviso no GitHub vinculado e a documentação do projeto mailcow para o procedimento de atualização.
- Restrinja o acesso ao painel administrativo a redes e equipes confiáveis, reduzindo a exposição dos logs. Trata-se de prática defensiva geral, não de afirmação das fontes.
- Até a atualização, evite abrir os logs do Autodiscover no painel sempre que possível. Trata-se de uma inferência.
Orientações de detecção
- Revise as entradas de log do Autodiscover em busca de caracteres HTML ou de aparência de script inesperados no campo user.
- Correlacione a atividade do Autodiscover com os logs do servidor web para identificar requisições de origens desconhecidas.
- Trate qualquer achado suspeito como um possível incidente e siga o processo interno de resposta.
Limitações das informações disponíveis
- O registro não possui título nativo, dados estruturados de versões afetadas ou corrigidas, nem dados CVSS além da pontuação do CNA.
- O status de origem do registro é Deferred, e a data EPSS (2026-10-13) deve ser verificada na fonte original.
- Não é possível saber, a partir do registro, se outros componentes ou versões do mailcow são afetados.
- Detalhes técnicos de exploração são intencionalmente omitidos.
Perguntas frequentes
O que é o CVE-2026-40872?
É uma vulnerabilidade de cross-site scripting armazenado no mailcow: dockerized. Segundo o registro, os logs do Autodiscover no painel administrativo renderizam o valor EMailAddress sem escape de HTML.
Quais versões são afetadas e qual versão corrige o problema?
A descrição informa que as versões anteriores à 2026-03b são afetadas e que a versão 2026-03b corrige a vulnerabilidade. Os campos estruturados de versão do registro estão vazios.
Há registro de exploração conhecida?
O registro indica kev.listed como falso, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.