結論
CVE-2026-7460は、mailcow-dockerizedの管理者Queue Managerにおける保存型クロスサイトスクリプティング（XSS）脆弱性です。この脆弱性により、攻撃者が悪意のあるスクリプトを挿入することが可能となり、影響を受けるシステムの管理者が被害を受ける可能性があります。利用者は、早急に対策を講じる必要があります。
この記事の要点
- mailcow-dockerizedの管理者Queue ManagerにXSS脆弱性が存在
- 脆弱性は、適切な出力エンコーディングなしにHTMLをレンダリングすることに起因
- CVSSスコアは7.4であり、影響は重大
脆弱性の概要
mailcow-dockerizedには、管理者Queue Managerにおける保存型クロスサイトスクリプティング（XSS）脆弱性が存在します。このQueue Managerは、/api/v1/get/mailq/allからメールキューエントリを取得し、サーバー制御のPostfixキューのフィールドをDataTablesの行にコピーし、いくつかのフィールドを適切な出力エンコーディングなしでHTMLとしてレンダリングします。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-7460 |
| 公開日 | 2026-05-20T04:16:56.270000Z |
| 対象システム | mailcow-dockerized: 2026-03b |
| 脆弱性の種類 | 保存型クロスサイトスクリプティング（XSS） |
| CVSSスコア | 7.4 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- mailcow-dockerizedのバージョンを確認し、影響を受けるバージョンであるかを確認する。
- 影響を受ける場合は、ベンダーからのパッチやアップデートを適用する。
- システムのセキュリティ設定を見直し、必要に応じて強化する。
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-7460
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-7460
- help@fluidattacks.com：https://fluidattacks.com/advisories/mojabi
- help@fluidattacks.com：https://github.com/mailcow/mailcow-dockerized
対象システムと影響範囲
mailcow-dockerized: 2026-03bを使用している管理者が影響を受けます。特に、適切なセキュリティ対策が講じられていない環境では、攻撃のリスクが高まります。
被害内容
この脆弱性が悪用された場合、攻撃者は管理者のセッションを乗っ取ることが可能となり、システムに対する不正な操作や情報漏洩が発生する可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
ベンダーからのパッチやアップデートを適用することが推奨されます。具体的な修正バージョンについては、公式のセキュリティアドバイザリを参照してください。
FAQ
Q1. どの製品が影響を受けますか？
mailcow-dockerized: 2026-03bが影響を受けます。
Q2. まず何をすればよいですか？
影響を受けるバージョンを確認し、必要に応じてパッチを適用してください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント