یک آسیب‌پذیری امنیتی با شناسه CVE-2026-101280 در پروژه OpenDMARC (تا نسخه 1.4.2) شناسایی شده است که امکان دور زدن (Bypass) احراز هویت DMARC را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در تابع opendmarc_policy_query_dmarc و در بخش Multi-Record Set Handler رخ می‌دهد. مهاجم می‌تواند با ارسال یک مجموعه رکورد TXT چندگانه (Multi-record DMARC TXT set)، باعث شود سیستم ارزیابی OpenDMARC منعطف‌تر از استانداردهای RFC 7489 عمل کند و در نتیجه اجازه عبور ایمیل‌های جعلی را بدهد.
شرایط حمله و تاثیرات
- دسترسی: حمله به صورت از راه دور (Remote) و بدون نیاز به احراز هویت (Unauthenticated) قابل اجرا است و نیازی به تعامل کاربر (User Interaction) ندارد.
- پیش‌نیاز: مهاجم باید کنترل یا نفوذی بر DNS دامنه جعلی (Spoofed Domain) داشته باشد.
- تاثیر: این آسیب‌پذیری صرفاً بر روی Integrity (یکپارچگی) تاثیر می‌گذارد و منجر به جعل هویت فرستنده می‌شود، اما منجر به نشت داده‌ها (Confidentiality) یا از دسترس خارج شدن سرویس (Availability) نمی‌گردد.
در حال حاضر اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده و قابل استفاده است. بر اساس گزارش‌ها، سازنده نرم‌افزار تا کنون پاسخی به اطلاع‌رسانی‌های مربوط به این نقص امنیتی نداده است.
