CVE-2025-25198
mailcow: dockerized عرضة لتسميم إعادة تعيين كلمة المرور
- تم النشر
- 12/02/2025
- محدث
- 12/02/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 03/03/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 65.3%
- تاريخ الموديل
- 13/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
mailcow: dockerized هي حزمة برمجيات مفتوحة المصدر للتعاون الجماعي والبريد الإلكتروني قائمة على docker. قبل الإصدار 2025-01a، تتيح ثغرة أمنية في وظيفة إعادة تعيين كلمة المرور في mailcow للمهاجم التلاعب بترويسة `Host HTTP` لإنشاء رابط إعادة تعيين كلمة المرور يشير إلى نطاق يتحكم فيه المهاجم. وقد يؤدي ذلك إلى الاستيلاء على الحساب إذا نقر المستخدم على الرابط الملوَّث. يحتوي الإصدار 2025-01a على تصحيح. وكإجراء بديل، عطِّل وظيفة إعادة تعيين كلمة المرور عن طريق مسح `Notification email sender` و`Notification email subject` ضمن System -> Configuration -> Options -> Password Settings.
المصادر
PoC لـ CVE-2025-25198: اختبار آلي لتسميم ترويسة المضيف (Host header) لـ Mailcow - مستمع HTTPS، معالجة تلقائية للكوكيز/CSRF، يلتقط رابط إعادة التعيين الأول.
- CVE-2025-25198استغلال
يلتقط رموز إعادة تعيين كلمة المرور من هجمات حقن رأس المضيف في Mailcow.
alvarez · multiple · 03/03/2026
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.