CVE-2026-86008

Estado: AplazadaAlta (7.2)—

Gravedad7.2Alta · CVSS 3.1

Probabilidad de explotación0.31 %mayor que el 23 % de las CVE

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

Mailu es un servidor de correo distribuido como un conjunto de imágenes de Docker. Antes de 8577c929b4ade04d3cd4210cf036601abd793556, un gestor de dominio que tuviera como objetivo una cuenta administrativa u otro gestor de dominio con mayores privilegios podía restablecer contraseñas u obtener tokens de esa cuenta. Este fallo de autorización permite a un gestor de dominio apropiarse de una cuenta con más privilegios y ejercer los permisos de dicha cuenta. Esta vulnerabilidad se corrige con el commit 8577c929b4ade04d3cd4210cf036601abd793556.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 7.2
Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.31 %
Percentil entre todas las CVEs puntuadas: 23
Fecha de la puntuación: 21/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1210 Exploitation of Remote Serviceslateral movement80 %
Impacto principalT1098 Account Manipulationpersistence · privilege escalation70 %
Impacto secundarioT1078 Valid Accountsstealth · persistence · privilege escalation · initial access60 %

Vector AV:N/PR:H/UI:N exige privilegios (gestor de dominio); el texto indica restablecer contraseñas u obtener tokens de cuentas administrativas, lo que da control de cuentas de mayor privilegio.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account Management User Account Management Network Segmentation Multi-factor Authentication Disable or Remove Feature or Program Application Developer Guidance

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Mailu — Mailu^AI

CWE

CWE-269, CWE-285

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-86008",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-86008",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-16T16:53:48.473995Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.2,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "HIGH",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 1.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "Mailu",
          "product": "Mailu",
          "versions": [
            {
              "status": "affected",
              "version": "< 8577c929b4ade04d3cd4210cf036601abd793556"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-16T17:17:51.753",
  "references": [
    {
      "url": "https://github.com/Mailu/Mailu/commit/8577c929b4ade04d3cd4210cf036601abd793556",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Mailu/Mailu/issues/2685",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Mailu/Mailu/pull/4050",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/Mailu/Mailu/security/advisories/GHSA-9pv5-rm76-3qwj",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-269"
        },
        {
          "lang": "en",
          "value": "CWE-285"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Mailu is a mail server distributed as a set of Docker images. Prior to 8577c929b4ade04d3cd4210cf036601abd793556, a domain manager targeting an administrative account or another domain manager with greater privileges can reset passwords or obtain tokens for that account. This authorization failure allows a domain manager to take over a higher-privileged account and exercise that account's permissions. This vulnerability is addressed by commit 8577c929b4ade04d3cd4210cf036601abd793556."
    }
  ],
  "lastModified": "2026-10-16T17:17:51.883",
  "sourceIdentifier": "security-advisories@github.com"
}