🇰🇷 한글 설명
mailcow: dockerized 2026-03b 이전 버전의 로그인 기록 페이지에서 X-Real-IP 헤더의 클라이언트 IP를 HTML 이스케이프 없이 렌더링하므로, 공격자가 이 헤더를 조작하여 HTML/JS를 주입할 수 있습니다. 로그인 CSRF와 결합하여 사용자를 공격자 계정으로 강제 이동시킨 후 이메일을 탈취할 수 있습니다.
💡 쉬운 설명
메일 서버의 로그인 기록 페이지가 IP 주소를 검증 없이 그대로 표시해서, 공격자가 위조된 IP에 악성 코드를 담아 사용자 계정을 탈취할 수 있습니다. 2026-03b 버전으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
mailcow: dockerized is an open source groupware/email suite based on docker. In versions prior to 2026-03b, the user dashboard's "Seen successful connections" (login history) renders the client IP from login logs without HTML escaping. Because the server trusts the X-Real-IP header as the source IP for logging, an attacker can inject HTML/JS into this field. This Self-XSS can be exploited by a Login CSRF to force the victim into the attacker's account, and then read emails in a previous browser tab. Version 2026-03b fixes the vulnerability.
📍 영향받는 시스템
mailcow: dockerized 버전 2026-03b 이전 모든 버전
⚔️ 공격 벡터
X-Real-IP 헤더 스푸핑을 통한 XSS 주입 + 로그인 CSRF 결합 공격
🛡️ 대응 방법
mailcow: dockerized를 2026-03b 이상으로 업그레이드
🔧 검증 코드
표시된 태그가 2026-03b 이상이면 안전합니다. 태그에 버전이 명시되지 않으면 docker exec를 통해 컨테이너 내 /VERSION 파일을 확인하세요.
docker images | grep -i mailcow | awk '{print $2}' | head -1