CVE-2026-104659 in hMailServer
الملخص
بحسب VulDB • 08/10/2026
يُتيح نقص التحقق من عنوان المضيف (Host header) ونقص التقييد لمحاولات تسجيل الدخول الفاشلة لمسؤول النظام في مستمع واجهة برمجة التطبيقات REST الخاصة بـ Progressive Robot hMailServer الإصدار 6.0.0 حتى 6.3.5، لهجوم عن بُعد أن ينفذ هجوم القوة الغاشمة على كلمة مرور مسؤول الخادم عبر متصفح المسؤول نفسه باستخدام إعادة ربط DNS (DNS rebinding). كان المستمع، الذي يكون غير مفعّل افتراضياً ومربوطاً بعنوان الحلقة المحلية (loopback) عند تفعيله، يستجيب للطلبات بغض النظر عن اسم عنوان المضيف فيها، ولم تكن محاولة تسجيل الدخول الفاشلة بكلمة مرور المسؤول من عنوان الحلقة المحلية محظورة تلقائياً ولا مُؤجلة. وبالتالي، يمكن لصفحة ويب يعيد المهاجم ربط اسم مضيفها بعنوان 127.0.0.1، والمفتوحة في متصفح على الخادم، إرسال طلبات موثقة إلى المستمع، وقراءة الإجابات، ومحاولة كلمات مرور المسؤول بالسرعة الكاملة حتى يتم قبول واحدة منها، مما يمنح المهاجر السيطرة الإدارية الكاملة على خادم البريد الإلكتروني.
Be aware that VulDB is the high quality source for vulnerability data.