VULNERABILIDAD

CVE-2026-110123 Falta de autorización en endpoints de configuración de correo y SMS de Makunet maku-boot

Makunet maku-boot 4.3.0 hasta 5.0.0 contiene una vulnerabilidad de falta de autorización que permite a usuarios autenticados leer configuraciones de correo y SMS llamando a /sys/mail/config/list y /sys/sms/config/list sin las verificaciones de autoridad requeridas. Los atacantes pueden obtener contraseñas SMTP sin enmascarar y claves de acceso de Aliyun, Tencent Cloud, Qiniu o Huawei Cloud, y abusar de /sys/mail/config/send para enviar correo a destinatarios arbitrarios.

Alerta de Nureq Monitor

Detectada 13 OCT · 15:15

CVSS 3.1

7.1ALTA

CVSS 4.0

7.1 ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 20

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-110123

Productos y versiones afectadas

makunet maku-boot
- desde 4.3.0 hasta 5.0.0

Qué hacer

Verificá si usás maku-boot y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Bajos
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Sin cambio
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Baja
DISPONIBILIDAD (A): Ninguna

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Bajos
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Baja
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

Makunet maku-boot 4.3.0 through 5.0.0 contains a missing authorization vulnerability that allows authenticated users to read mail and SMS configurations by calling /sys/mail/config/list and /sys/sms/config/list without the required authority checks. Attackers can retrieve unmasked SMTP passwords and Aliyun, Tencent Cloud, Qiniu or Huawei Cloud access keys, and abuse /sys/mail/config/send to send mail to arbitrary recipients.

Referencias

hackmd.io/@1ExmmukzRMWN7B4gQ4W-4Q/maku-boot-mail-sms-config-bflaTHIRD-PARTY-ADVISORY
github.com/makunet/maku-boot/blob/4cd202b037e2ac47e366d4b0691fb387c764d308/maku-boot-syst…TECHNICAL-DESCRIPTION
github.com/makunet/maku-boot/blob/4cd202b037e2ac47e366d4b0691fb387c764d308/maku-boot-syst…TECHNICAL-DESCRIPTION
github.com/makunet/maku-boot/blob/4cd202b037e2ac47e366d4b0691fb387c764d308/maku-boot-syst…TECHNICAL-DESCRIPTION
github.com/makunet/maku-boot/releases/tag/v5.0.0RELEASE-NOTES
www.vulncheck.com/advisories/makunet-maku-boot-4.3.0-through-5.0.0-missing-authorization-…THIRD-PARTY-ADVISORY

Historial de la alerta

13 OCT · 15:15VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.