🇰🇷 한글 설명
mailcow 2026-03b 이전 버전에서 Quarantine 세부 정보 모달이 첨부 파일명을 HTML 이스케이프 없이 주입하여 XSS 취약점이 발생합니다. 공격자가 조작된 첨부 파일명을 가진 이메일을 전송하면, 관리자가 격리 항목을 볼 때 자바스크립트가 실행되어 계정을 탈취할 수 있습니다.
💡 쉬운 설명
mailcow 이메일 프로그램에서 이상한 파일명의 이메일을 받으면, 관리자가 그 메일을 확인할 때 악의적인 코드가 실행되어 계정이 해킹될 수 있습니다. 2026-03b 버전 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
mailcow: dockerized is an open source groupware/email suite based on docker. In versions prior to 2026-03b, the Quarantine details modal injects attachment filenames into HTML without escaping, allowing arbitrary HTML/JS execution. An attacker can deliver an email with a crafted attachment name so that when an admin views the quarantine item, JavaScript executes in their browser, taking over their account. Version 2026-03b fixes the vulnerability.
📍 영향받는 시스템
mailcow: dockerized 2026-03b 이전 모든 버전
⚔️ 공격 벡터
첨부 파일명에 HTML/JavaScript 코드를 포함하여 이메일 전송, 관리자의 Quarantine 페이지 접근 시 스크립트 실행
🛡️ 대응 방법
mailcow를 2026-03b 이상 버전으로 즉시 업그레이드
🔧 검증 코드
mailcow 컨테이너 이미지 버전을 확인하여 2026-03b 이상 버전인지 검증; 실행 중인 컨테이너가 없으면 'mailcow container not found' 출력
docker inspect $(docker ps -q -f 'name=mailcow') 2>/dev/null | grep -oP '"Image": "\K[^"]+' || echo 'mailcow container not found'