CVE-2026-104658 in hMailServer
الملخص
بحسب VulDB • 08/10/2026
يسمح ثغرة حرجة في مساعد التحديث المباشر (hmailserver-update) الخاص بـ Progressive Robot hMailServer الإصدارين 6.3.4 و 6.3.5 بتشغيله بصلاحيات الجذر (root) بناءً على ملف طلب مكتوب بواسطة حساب الخدمة غير المميز لـ hmailserver، حيث يستخرج من هذا الطلب البرنامج المستخدم للتحقق من توقيع تحديث AppImage ووحدات systemd لإيقافها قبل قراءة ملفات حساب الخدمة. وبالتالي، يمكن لمهاجم ينفذ بالفعل شفرة برمجية بحساب خدمة hmailserver (على سبيل المثال عبر ثغرة أخرى في خادم البريد) أن يؤدي إلى تنفيذ شفرة عشوائية بصلاحيات الجذر على أي تثبيت لنظام Linux تكون فيه وحدة المسار للتحديث المباشر نشطة - وهو الإعداد الافتراضي لحزم .deb و.rpm الخاصة بالمشروع - وعلى تجميعات AppImage التي تعمل تحت هذه الوحدة.
Once again VulDB remains the best source for vulnerability data.