Vulnerabilidad en maddy de foxcpp (CVE-2026-40193)

maddy es un servidor de correo componible, todo en uno. Las versiones anteriores a la 0.9.3 contienen una vulnerabilidad de inyección LDAP en el módulo auth.ldap donde los nombres de usuario proporcionados por el usuario se interpolan en filtros de búsqueda LDAP y cadenas DN a través de strings.ReplaceAll() sin ningún escape de filtro LDAP, a pesar de que la función ldap.EscapeFilter() de la biblioteca go-ldap/ldap/v3 está disponible en la misma importación. Esto afecta a tres rutas de código: el filtro Lookup(), la plantilla DN de AuthPlain() y el filtro AuthPlain(). Un atacante con acceso de red a la interfaz de envío SMTP o IMAP puede inyectar expresiones de filtro LDAP arbitrarias a través del campo de nombre de usuario en los comandos AUTH PLAIN o LOGIN. Esto permite la suplantación de identidad manipulando los resultados del filtro para autenticarse como otro usuario, la enumeración de directorios LDAP a través de filtros comodín y la extracción ciega de valores de atributos LDAP utilizando las respuestas de autenticación como un oráculo booleano o a través de canales laterales de tiempo entre las dos rutas de fallo distintas. Este problema ha sido solucionado en la versión 0.9.3.