‹ Volver al listado

CVE-2026-113728

Estado: RecibidaAlta (7.5)—
Gravedad7.5Alta · CVSS 3.1
Probabilidad de explotación0.51 %mayor que el 42 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Bulwark Webmail es un cliente de correo web autoalojado para Stalwart Mail Server. Antes de la versión 1.9.2, el endpoint POST /api/fetch-ical, que no requiere autenticación, valida un nombre de host proporcionado por el llamante mediante una única consulta DNS y, a continuación, pasa la URL a fetch, que realiza una consulta DNS independiente para la conexión del socket.

Leer descripción completaMostrar menos

Un atacante que controle el DNS autoritativo puede devolver una dirección pública durante la validación y luego reasignar el nombre de host a una dirección de loopback, privada, link-local o de metadatos de la nube para la conexión, lo que provoca que el servidor devuelva hasta 10 MB de una respuesta HTTP o HTTPS interna. El mismo patrón de comprobación seguida de petición (check-then-fetch) también existía en los flujos autenticados de inicio de sesión JMAP y de intercambio de tokens TOTP. Esta vulnerabilidad está corregida en la versión 1.9.2.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
7.5
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.51 %
Percentil entre todas las CVEs puntuadas
42
Fecha de la puntuación
21/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Endpoint POST /api/fetch-ical sin autenticación (PR:N, UI:N, AV:N) con DNS rebinding permite SSRF y devolver hasta 10 MB de respuestas HTTP internas (loopback, privadas, metadatos cloud).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningSSL/TLS InspectionPrivileged Account ManagementNetwork SegmentationNetwork Intrusion Prevention

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Bulwark — Bulwark WebmailAI

CWE

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-113728",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "bulwarkmail",
          "product": "webmail",
          "versions": [
            {
              "status": "affected",
              "version": "< 1.9.2"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T22:19:29.740",
  "references": [
    {
      "url": "https://github.com/bulwarkmail/webmail/commit/3288589e5248dcc1da769cc578827a9ee1adc941",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/bulwarkmail/webmail/releases/tag/1.9.2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/bulwarkmail/webmail/security/advisories/GHSA-24w9-8r42-8jwm",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Received",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-918"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to 1.9.2, the unauthenticated POST /api/fetch-ical endpoint validates a caller-supplied hostname with one DNS lookup and then passes the URL to fetch, which performs a separate lookup for the socket connection. An attacker controlling authoritative DNS can return a public address during validation and then rebind the hostname to a loopback, private, link-local, or cloud metadata address for the connection, causing the server to return up to 10 MB of an internal HTTP or HTTPS response. The same check-then-fetch pattern also existed in authenticated JMAP login and TOTP token-exchange flows. This issue is fixed in version 1.9.2."
    }
  ],
  "lastModified": "2026-10-20T22:19:29.740",
  "sourceIdentifier": "security-advisories@github.com"
}