CVE-2026-74756 WebAdmin de Apache James expuesto sin autenticación en el Docker oficial por defecto
Algunos docker-compose provistos por el proyecto exponen por defecto la API REST de WebAdmin públicamente sin una configuración de autenticación adecuada. Desde la versión 3.9.1 se establece una credencial aleatoria por defecto en los endpoints de webadmin sin protección.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 16
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache James
hasta antes de 3.9.1
Qué hacer
- Verificá si usás Apache James y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
Some docker-compose shipped by the project exposes by default Webadmin REST API publically without proper authentication setup.
Version 3.9.1 onward sets a random credential by default on unprotected webadmin endpoints to prevent this while retain convenience.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.