CVE-2026-41873: Apache Pony Mail: tomada de conta de administrador via HTTP request smuggling

Visão geral

A CVE-2026-41873 é classificada como CWE-444 (HTTP Request Smuggling), descrita no registro como uma interpretação inconsistente de requisições HTTP que leva à tomada de conta de administrador no Apache Pony Mail. A questão está marcada como sem suporte na atribuição, e o registro observa que ela afeta apenas produtos que não são mais suportados pelo mantenedor. O CNA é a Apache Software Foundation, e o registro foi publicado em 2026-04-28 com status Modified.

Impacto

O registro descreve o impacto como tomada de conta de administrador. O vetor CVSS 3.1 do registro (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) classifica os impactos de confidencialidade, integridade e disponibilidade como altos, com pontuação base de 9,8 segundo a NVD. Os campos SSVC indicam automatizável: sim e impacto técnico total. Esses valores descrevem a severidade conforme pontuada pelas fontes e não confirmam um caminho de exploração específico.

Produtos e versões afetadas

Produto: Apache Software Foundation Pony Mail, implementação em Lua.
A descrição afirma que todas as versões da implementação em Lua são afetadas.
O registro não lista cadeias de versão específicas; a faixa de versões afetadas consta como não especificada pela fonte.
Uma implementação em Python chamada Pony Mail Foal é descrita como em desenvolvimento e não afetada, mas ainda não lançada.

Situação de exploração

A entrada no catálogo KEV da CISA não está listada no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O campo SSVC de exploração está registrado como none. A probabilidade EPSS é 0,00738, com percentil 0,5403, datada de 2026-10-23; são estimativas, não evidência de exploração.

Remediação e mitigação

O mantenedor afirma que a implementação em Lua está aposentada e que nenhuma versão corrigida é planejada, portanto não há versão corrigida disponível pelo registro.
O registro recomenda buscar uma alternativa ao produto.
Enquanto a instância não for desativada, restrinja o acesso apenas a usuários confiáveis e limite a exposição da interface administrativa na rede.
Revise contas e sessões de administrador em qualquer instância afetada em busca de acessos inesperados.

Orientação para detecção

Revise os logs do servidor web e do proxy reverso em busca de requisições com enquadramento HTTP inconsistente ou ambíguo e de ações administrativas inesperadas.
Monitore a criação ou alteração de contas de administrador e logins de origens desconhecidas.
Quando houver um proxy na frente da aplicação, verifique se ele e o backend interpretam de forma diferente os limites das requisições.

Limitações das informações disponíveis

O registro não fornece cadeias de versão afetadas específicas, versões corrigidas, detalhes técnicos do comportamento de smuggling nem cronologia de exploração confirmada. A ausência de correção decorre do produto estar aposentado, o que não equivale à inexistência de correção em uma versão suportada. Os valores CVSS e SSVC foram extraídos do registro e não foram verificados de forma independente.

Perguntas frequentes

A CVE-2026-41873 está sendo explorada ativamente?

A entrada no catálogo KEV da CISA não está listada no registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Existe correção para esta falha?

O registro informa que o mantenedor não pretende lançar uma versão corrigida da implementação Lua aposentada. O caminho recomendado é buscar uma alternativa ou restringir o acesso a usuários confiáveis.

Quais versões são afetadas?

O registro diz que todas as versões da implementação em Lua são afetadas, mas não lista cadeias de versão específicas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.