🇰🇷 한글 설명
mailcow dockerized의 /api/v1/delete/fwdhost 엔드포인트에서 관리자 검증이 누락되어 인증된 모든 사용자가 Forwarding Hosts를 삭제할 수 있습니다. 이는 메일 서비스 중단을 야기할 수 있으며, 2026-03b 버전에서 수정되었습니다.
💡 쉬운 설명
mailcow 이메일 서버에서 로그인한 누구나 다른 사람의 이메일 전달 설정을 지워버릴 수 있는 버그입니다. 관리자만 할 수 있어야 하는 작업을 일반 사용자도 실행할 수 있습니다.
🇺🇸 원문 (English)
mailcow: dockerized is an open source groupware/email suite based on docker. In versions prior to 2026-03b, no administrator verification takes place when deleting Forwarding Hosts with `/api/v1/delete/fwdhost`. Any authenticated user can call this API. Checks are only applied for edit/add actions, but deletion can still significantly disrupt the mail service. Version 2026-03b fixes the vulnerability.
📍 영향받는 시스템
mailcow: dockerized 버전 2026-03b 이전 모든 버전
⚔️ 공격 벡터
인증된 사용자가 /api/v1/delete/fwdhost API 엔드포인트를 호출하여 Forwarding Hosts를 무단 삭제
🛡️ 대응 방법
mailcow를 2026-03b 이상으로 업그레이드
🔧 검증 코드
명령어 결과에서 버전 정보를 확인하여 2026-03b 이상인지 확인합니다. 2026-03b 미만이면 즉시 업그레이드 필요합니다.
curl -s http://localhost/api/v1/info 2>/dev/null | grep -o '"version":"[^"]*"' || cat /opt/mailcow-dockerized/mailcow.conf 2>/dev/null | grep -i version | head -1