CVE-2026-107573 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Falsche Standardberechtigungen im Windows-Installer von Progressive Robot hMailServer (Versionen 6.0.0 bis 6.3.5) ermöglichen es einem lokal authentifizierten Benutzer, auf die Daten des Mail-Servers zuzugreifen. Der Installer erstellte die Ordner für Daten, Protokolle, temporäre Dateien, Datenbank und Ereignisse sowie die Konfigurationsdatei hMailServer.INI mit den vom Installationsordner (standardmäßig unter „Program Files“) vererbten Berechtigungen, welche der lokalen Gruppe „Benutzer“ Lesezugriff gewähren. Jeder Benutzer, der sich am Computer anmelden kann, könnte jede gespeicherte Nachricht, die Protokolle, die integrierte Datenbank mit den Passwort-Hashes der Konten (sofern der Dienst gestoppt ist) sowie die Konfigurationsdatei einschließlich des Datenbankpassworts lesen; dieses wird lediglich durch den DPAPI-Schlüssel des Systems verschlüsselt und kann von jedem lokalen Konto entsiegelt werden. Bei Verwendung einer externen Datenbank gewährt das Passwort volle Kontrolle darüber. Das Linux AppImage der Versionen 6.3.0 bis 6.3.5 erstellte ebenfalls benutzerspezifische Datenordner, die für andere lokale Benutzer lesbar waren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.