Mailcowの複数のクロスサイトスクリプティング（XSS）脆弱性

【なぜ重要か】 オープンソースのセルフホスト型メールサーバーMailcowで発見された3つのXSS脆弱性により、未認証の攻撃者が管理者アカウントを乗っ取り、メールボックスの内容を盗み見たり、パスワードリセット機能を悪用して被害者の他のアカウントまで侵害することが可能でした。メールサーバーは機密情報の宝庫であり、組織のセキュリティに深刻な影響を与える可能性があります。

【ポイント】

• 未認証のAutodiscoverリクエストで悪意のあるメールアドレスをログに注入し、管理者がログを確認した際にXSSを実行する脆弱性（Critical）
• 検疫機能で添付ファイル名にHTMLタグを含む悪意のあるファイル（EICAR テストファイル）を送信し、管理者が確認時にXSSを実行する脆弱性
• X-Real-IPヘッダーを悪用してXSSペイロードを保存し、Login CSRFと組み合わせて被害者を攻撃者のアカウントにログインさせ、同時に被害者のメールボックスの内容を盗み取る高度な脆弱性
• いずれの脆弱性もHTMLエスケープ処理の不備が原因で、JavaScriptでHTMLを直接連結する際にユーザー入力の適切なエスケープを怠ったことが根本原因
• すべての脆弱性は2026年3月31日リリースのバージョン2026-03bで修正済み

【まとめ】 Mailcowを使用している場合は直ちにバージョン2026-03b以降にアップデートし、類似のアプリケーションでもHTMLエスケープ処理の見直しを行うべきです。