CVE-2026-49939 Evasión de autorización en ACL negativas de IMAP a través de JMAP en Apache James
En Apache James anterior a 3.9.1, el procesamiento incorrecto de listas de control de acceso expuesto por JMAP no contempla las reglas negativas definidas en IMAP. Esto permite a usuarios administrar carpetas en JMAP aunque en IMAP se les haya denegado explícitamente ese derecho. Se corrige en la versión 3.9.1.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache James
desde 3.9.0 hasta antes de 3.9.1
Qué hacer
- Verificá si usás Apache James y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
In Apache James server prior version 3.9.1 improper Access Control List processing is exposed by the JMAP protocol which do not account for negative rules positionned by IMAP protocol.
This results in users being able to administer folders in JMAP despite having being explicitly denied the right to do so in IMAP.
Users are recommended to upgrade to version 3.9.1 which fixes this issue.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.