CVE-2024-30270
Vulnerabilidad de Path Traversal y Ejecución de Código Arbitrario en mailcow
- Publicado
- 4 abr 2024
- Actualizado
- 12 dic 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:LModerado · próximos 30 días
- Percentil
- 98,0 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
mailcow: dockerized es un software colaborativo/paquete de correo electrónico de código abierto basado en Docker. Se ha identificado una vulnerabilidad de seguridad en mailcow que afecta a versiones anteriores a 2024-04. Esta vulnerabilidad es una combinación de path traversal y ejecución de código arbitrario, específicamente dirigida a la función `rspamd_maps()`. Permite a los usuarios administradores autenticados sobrescribir cualquier archivo en el que pueda escribir el usuario www-data aprovechando la validación de ruta incorrecta. La cadena de exploits puede conducir a la ejecución de comandos arbitrarios en el servidor. La versión 2024-04 contiene un parche para el problema.
Fuentes
1El script explota vulnerabilidades de Mailcow mediante XSS y RCE, enfatizando la necesidad de medidas de seguridad robustas y un uso responsable para mejorar la seguridad de las aplicaciones web.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.