CVE-2026-76171 Evasión del filtro SSRF en el cliente web-push de JMAP PushSubscription de Apache James
En Apache James anterior a 3.9.1, una validación incorrecta en la verificación SSRF de JMAP webPush permitía alcanzar direcciones internas. Se recomienda actualizar a la versión 3.9.1, que corrige el problema.
—S/D
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 12
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache James
desde 3.9.0 hasta antes de 3.9.1
Qué hacer
- Verificá si usás Apache James y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
In Apache James server prior version 3.9.1 improper validation in JMAP webPush SSRF validation did lead to the possibility to reach internal addresses.
Users are recommended to upgrade to version 3.9.1 which fixes this issue.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.