本文使用的 Docker 镜像
发布日期： 2026 年 10 月 17 日
风险等级： 高危（High）
漏洞编号： CVE-2026-86008 · CVE-2026-86009
涉及镜像： ghcr.io/mailu/admin — 轩辕镜像 · GHCR · ghcr.io/mailu/nginx — 轩辕镜像
CVSS： 8.2（High，NVD，CVE-2026-86009）；CVE-2026-86008 为 7.2
披露时间： 2026 年 10 月，Mailu 安全公告
相关公告： GHSA-9pv5-rm76-3qwj
一、漏洞概述
Mailu 是用 Docker 部署的邮件套件。官方 Compose 默认从 ghcr.io/mailu 拉取 admin、nginx 等组件。权限问题在管理逻辑里，升级时管理组件要换成含修复提交的构建。
已登录的 domain manager 可以对更高权限的账号重置密码，或取得其 token，从而接管更高等级的账户（CVE-2026-86008）。
同一类低权限域管理员还可以对并非自己控制的托管域打开伪造。打开之后可以发出带有效 DKIM / SPF 的伪造邮件（CVE-2026-86009）。NVD 将这条标为 High 8.2。GHSA 曾标为 Low，本文按 NVD 的 High 记录。
修复已经合入 master：密码与 token 问题在 PR #4050，域名伪造在 PR #4072。发行标签 2024.06.64 与这些提交已经分叉，不能确认这条发行线包含修复。
二、漏洞状态
统计截止： 2026 年 10 月 18 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（Mailu 安全公告） |
| 漏洞类型 | 域管理员越权重置更高权限账户；对非管辖托管域打开伪造 |
| 官方补丁 | master 上的 PR #4050、PR #4072。没有可以确认已包含这两处提交的发行标签 |
| 前置条件 | 已经登录的 domain manager |
| CISA KEV | 未列入 |
| CVE | 分数 | 要点 |
|---|---|---|
| CVE-2026-86008 | 7.2 High | domain manager 可重置更高权限账号的密码或取得 token |
| CVE-2026-86009 | 8.2 High（NVD） | domain manager 可对非自己控制的托管域打开伪造，发出带 DKIM/SPF 的邮件 |
三、影响范围
1. 发行形态
| 形态 | 说明 |
|---|---|
ghcr.io/mailu/admin | 管理面。修复应落在含 PR #4050 与 PR #4072 的构建上 |
同套件的 ghcr.io/mailu/nginx 等 | 与 admin 使用同一 MAILU_VERSION。整套一起换，不要只留旧的 admin |
官方镜像在 GHCR。轩辕站内页是 ghcr.io/mailu/admin 和 ghcr.io/mailu/nginx。Docker Hub 上没有 mailu/admin 这个官方仓库。
2024.06.64 不能当作已修复标签。在上游给出明确包含上述提交的版本号之前，不要把某个现成发行标签写成修复版。
2. 典型受影响场景
- 一套 Mailu 里有多名 domain manager，其中有人权限应限制在个别域
- 管理接口对这批域管理员可达
- 仍部署在与修复提交分叉的 2024.06 发行线上
没有域管理员账号、只有普通邮箱用户时，不满足这两条的前提。
四、修复建议
1. 换用含修复提交的构建（推荐）
按 Mailu 官方文档，从 GHCR 部署 已经包含 PR #4050 和 PR #4072 的 master 或后续正式镜像。admin 与同一套件里的 nginx 等组件使用同一版本。
在发行说明写明包含这两处修复之前，不要把 2024.06.64 配进生产 Compose。
轩辕镜像： ghcr.io/mailu/admin · ghcr.io/mailu/nginx
加速拉取时把 *** 换成个人中心的专属前缀。这个域不要用 GitHub PAT 登录。
bashdocker pull ***-ghcr.xuanyuan.run/mailu/admin:<标签> docker pull ***-ghcr.xuanyuan.run/mailu/nginx:<标签>
<标签> 换成已经确认包含 PR #4050 与 PR #4072 的构建。不要填 2024.06.64。
升级后让更高权限账户重新设置密码，并作废升级前发出的管理 token。
2. 域管理员曾经能登录时
按更高权限账户可能已被重置、未管辖域名可能被打开伪造处理：轮换管理员口令，检查托管域的伪造开关，并核对发出的邮件签名配置。
五、临时缓解措施
在换上含修复的构建之前：
-
收紧谁是 domain manager
只保留必须管理域名的账户。低权限域管理员是这两条的调用方。 -
不要新增不受信任的域管理员
现有发行标签不能确认已修。新的域管理员仍可能重置更高权限账户或打开伪造。 -
先核对各托管域的伪造设置
关掉不应开启的域名伪造。这不能代替含 PR #4072 的版本。
六、与轩辕镜像用户的相关说明
轩辕镜像提供 GHCR 加速。站内页：ghcr.io/mailu/admin、ghcr.io/mailu/nginx。拉取域是 ***-ghcr.xuanyuan.run，*** 换成个人中心的专属前缀。
加速拉取不会自动带上 PR #4050 与 PR #4072。不要把标签固定成 2024.06.64。配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。
七、参考链接
- Mailu：GHSA-9pv5-rm76-3qwj（CVE-2026-86008）
- Mailu：GHSA-crww-m82r-2wfm（CVE-2026-86009）
- GHCR：mailu/admin
- 轩辕站内镜像页：ghcr.io/mailu/admin · ghcr.io/mailu/nginx
轩辕镜像安全团队
2026 年 10 月 17 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。