Descripción
mailcow: dockerized anterior a 2026-11 contiene una vulnerabilidad de inyección de plantillas del lado del servidor (SSTI) que permite a los administradores de dominio ejecutar comandos en el contenedor compartido de rspamd mediante el almacenamiento de un pie de página malicioso a nivel de dominio. Los atacantes pueden incrustar una macro Jinja con un valor predeterminado os.execute, que es renderizada por el prefiltro MOO_FOOTER de rspamd, para leer o inyectar correo de todos los inquilinos (tenants) y deshabilitar el filtrado.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- mailcow: dockerized Afectadas: anteriores a 2026-11
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/mailcow/mailcow-dockerized/security/advisories/GHSA-jgr3-f…
- Parchegithub.com/mailcow/mailcow-dockerized/commit/e986803980db8b29435a2ddb…
- Referencia en github.comgithub.com/mailcow/mailcow-dockerized/releases/tag/2026-11
- Referencia en github.comgithub.com/mailcow/mailcow-dockerized/blob/55982ac74bfd35581cc44b122a…
- Aviso de vulncheck.comvulncheck.com/advisories/mailcow-dockerized-before-2026-11-template-i…
Ver el texto original en inglés (CVE.org)
mailcow: dockerized before 2026-11 Template Injection RCE via Domain-Wide Footer
mailcow: dockerized before 2026-11 contains a server-side template injection vulnerability that allows domain administrators to execute commands in the shared rspamd container by storing a malicious domain-wide footer. Attackers can embed a Jinja macro with an os.execute default value, rendered by the rspamd MOO_FOOTER prefilter, to read or inject mail for every tenant and disable filtering.