CVE-2026-107568 in hMailServer
Zusammenfassung
von VulDB • 19.10.2026
Ein fehlendes Autorisierungs-Check im Sieve-Benachrichtigungs-Aktion (6.2.22 bis 6.3.6) und in der mail-rule Reply-Aktion (6.0.0 bis 6.3.6) von Progressive Robot hMailServer ermöglicht es einem authentifizierten Benutzer, E-Mails über den Server als jede beliebige Absenderadresse zu senden. Eine Sieve notify sendet eine Benachrichtigungsnachricht, und ihr :from-Tag benennt den Absender; der Server setzt den From-Header der Benachrichtigung auf dieses :from so, wie es das Skript geschrieben hat, ohne zu prüfen, ob die Adresse zum Konto gehört – im Gegensatz zur Prüfung, die die Sieve vacation-Aktion für ihre eigene :from anwendet und die der Server für den Absender von über COM gepufferten oder aus dem Webmail gesendeten E-Mails durchführt. Ein Konto, das ein Sieve-Skript speichern kann (über ManageSieve, den Self-Service-Filter der REST-API oder die Administrationsschnittstelle), könnte daher dazu führen, dass der Server eine Benachrichtigung von jeder beliebigen Adresse auf diesem Server oder überall sendet; und wenn die behauptete Adresse in einer Domain liegt, die vom Server mit aktivierter DKIM-Signierung gehostet wird, signiert der Server die Benachrichtigung mit dem DKIM-Schlüssel dieser Domain, da er basierend auf der Domain im From-Header signiert, was zu gefälschten E-Mails führt, die das DMARC-Richtlinie der Domain bestehen lassen. Die notify-Aktion und dieses Verhalten wurden in 6.2.22 eingeführt. In der mail-rule-Engine wurde eine Reply einer Regel ebenfalls von jeder beliebigen Adresse gesendet, die vom Aktion genannt wird, unabhängig davon, wem die Regel gehört; so konnte ein Konto, das seine eigenen Regeln über COM ausführt, ein Domänenadministrator oder ein API-Schlüssel, der auf eine Domain beschränkt ist (über die REST-API ab 6.3.4), dazu führen, dass eine Regel einer Domain oder eines Kontos von jeder beliebigen Adresse antwortet, signiert mit dem Schlüssel dieser Domain, wenn diese Adresse in einer vom Server gehosteten Domain mit aktivierter DKIM-Signierung liegt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.