CVE-2026-84832: Unsafe deserialization in the REST interface | Rafael Pfister

Analisi su rafaelpfister.ch

Articolo · 26 ottobre 2026 SEPPmail 15.0.7, 15.1.0 e 15.1.0.1: correzioni CVE e nuovo ramo di funzionalità SEPPmail 15.0.7 risolve una Command Injection (CVE-2026-84830) e un aggiramento dell'MFA (CVE-2026-84831) ed è l'ultima release del ramo 15.0. Le versioni 15.1.0 e l'hotfix 15.1.0.1 introducono nuove funzioni di amministrazione e monitoraggio, nonché altre due correzioni di sicurezza, tra cui una con CVSS 9.9.

Descrizione del produttore (in inglese)

SEPPmail Secure Email Gateway before 15.0.6 deserializes attacker-controlled data in a privileged REST import workflow without adequate validation. An attacker with a privileged API token can execute arbitrary commands with "nobody" privileges.

Dati di riferimento

Produttore

SEPPmail AG

Prodotti interessati

SEPPmail Secure Email Gateway (SEG)

CVSS 4.0

8.6 (HIGH)

Vettore

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Tipo di debolezza

CWE-502: Deserialization of Untrusted Data

Pubblicata

3 settembre 2026

Fonti ufficiali

← Tutte le vulnerabilità