Summary
Vulnerability in Modoboa (CVE-2026-56780). Successful exploitation can lead to full system takeover. Exploitable via PUT /api/v1/accounts/{pk}/password/.
Original description
The description as published by the source.
Modoboa before 2.9.0 contains an insecure direct object reference vulnerability in the PUT /api/v1/accounts/{pk}/password/ endpoint that allows domain administrators to change any user's password. Attackers with domain admin privileges can bypass object-level access controls to reset superadmin passwords and achieve full account takeover.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Modoboaのバージョン2.9.0より前には、ドメイン管理者が任意のユーザーパスワードを変更できる脆弱性があります。具体的には、PUT /api/v1/accounts/{pk}/password/エンドポイントにおける不適切な直接オブジェクト参照により、攻撃者はオブジェクトレベルのアクセス制御をバイパスし、スーパーデジタルパスワードをリセットすることが可能です。これにより、完全なアカウント乗っ取りが可能になります。
ModoboaのAPIでの不適切な直接オブジェクト参照により、ドメイン管理者が任意のユーザーパスワードを変更できる脆弱性。
Modoboaのバージョン2.9.0より前のPUT /api/v1/accounts/{pk}/password/エンドポイント。
攻撃者はオブジェクトレベルのアクセス制御をバイパスし、スーパーデジタルパスワードをリセットしてアカウント乗っ取りが可能。
Modoboaをバージョン2.9.0以降にアップデートする。
情報なし
アクセスログを監視して、異常なパスワード変更リクエストを検出する。
References
- web nvd.nist.gov
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com