CVE-2026-41873

HTTP Request Smuggling w Apache Pony Mail — przejęcie konta admina

CVSS 9.8v3.1pub. 2026-04-28upd. 2026-04-29

Podatność typu HTTP Request Smuggling (CWE-444) w implementacji Lua projektu Apache Pony Mail umożliwia atakującemu przejęcie konta administratora. Produkt jest wycofany i nie otrzyma poprawki bezpieczeństwa.

▸ Pokaż oryginał (EN)

** UNSUPPORTED WHEN ASSIGNED ** Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') vulnerability in Pony Mail leading to admin account takeover. This issue affects all versions of the Lua implementation of Pony Mail. There is a Python implementation under development under the name "Pony Mail Foal" that is not affected by this issue, but hasn't been released yet. As the Lua implementation of this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

🤖 Analiza AI

Jak działa

Podatność wynika z niespójnej interpretacji żądań HTTP przez serwer i pośredniczące komponenty sieciowe (HTTP Request/Response Smuggling). Atakujący może spreparować żądania HTTP w taki sposób, że różne warstwy infrastruktury interpretują granice żądań odmiennie, co prowadzi do nieautoryzowanego przejęcia sesji lub konta administratora. Problem dotyczy wyłącznie implementacji opartej na języku Lua.

Skutki

Atakujący nieuwierzytelniony sieciowo może przejąć konto administratora aplikacji, uzyskując pełną kontrolę nad instancją Apache Pony Mail.

Mitygacja

Producent nie planuje wydania poprawki, ponieważ implementacja Lua jest oficjalnie wycofana z utrzymania. Zaleca się migrację do alternatywnego rozwiązania lub ograniczenie dostępu do instancji wyłącznie do zaufanych użytkowników. Monitorować należy dostępność implementacji Python (Pony Mail Foal) jako następcy.

Kogo dotyczy

Wszystkie wersje implementacji Lua projektu Apache Pony Mail. Implementacja Python (Pony Mail Foal) nie jest podatna, jednak nie została jeszcze wydana.

Uwagi

Produkt oznaczony jako UNSUPPORTED WHEN ASSIGNED — implementacja Lua Apache Pony Mail jest wycofana i nie będzie otrzymywać aktualizacji bezpieczeństwa. W trakcie rozwoju znajduje się alternatywna implementacja Python pod nazwą Pony Mail Foal, która nie jest podatna na ten problem.