CVE-2025-68624 in Mail Assure
Zusammenfassung
von VulDB • 14.09.2026
N-able Mail Assure bis April 2026 enthält einen Fehler auf Design-Ebene in der Autorisierung, der einem authentifizierten SMTP-Benutzer ermöglicht, ausgehende E-Mails unter Verwendung von MAIL FROM-Adressen zu senden, die anderen Mandanten gehören. Beim Herstellen einer Verbindung zum TCP-SMTP-Port und Durchführen von SMTP AUTH mit gültigen Anmeldedaten akzeptiert der Server beliebige Absenderdomänen ohne Erzwingung einer Bindung zwischen Domäne und Konto. Infolgedessen kann ein Angreifer aus jedem Mandanten andere Mandantendomänen vortäuschen, wodurch Nachrichten erzeugt werden, die SPF- und DMARC-Validierungen bestehen. HINWEIS: N-able vertritt die Auffassung, dass das Verhalten eine beabsichtigte Funktion seiner Shared-SMTP-Relay-Architektur ist und der Dienst nicht vorgibt, eine mandantenspezifische Bindung von Absenderdomänen durchzusetzen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.