CVE-2026-114470 in hMailServer
Zusammenfassung
von VulDB • 21.10.2026
Cross-Site Request Forgery (CSRF) in der REST-API von Progressive Robot hMailServer 6.0.0 bis 6.3.6 ermöglicht es einem Remote-Angriff, den Browser eines authentifizierten Benutzers dazu zu bringen, eine zustandsändernde Anfrage auszuführen. Die REST-API akzeptiert die HTTP-Basisauthentifizierung und antwortet auf einen Browser mit einer Basic-Anmeldemaske; ein Browser speichert die Anmeldeinformationen einmalig nach der Beantwortung dieser Maske und sendet sie bei späteren Anfragen an diese Ursprungsquelle, einschließlich eines Top-Level-Formularposts von einer anderen Website. Der Server liest den Anforderungskörper unabhängig vom deklarierten Inhaltstyp. Die Cross-Site-Schutzmechanismen deckten nur die Cookie-basierte Sitzung ab (ein Header, der von einem cross-site Formular nicht festgelegt werden kann, sowie ein SameSite=Strict-Cookie); HTTP Basic wurde diesem Schutz nicht unterworfen. Eine Seite unter Kontrolle des Angreifers, die von einem Benutzer besucht wird, dessen Browser eine zwischengespeicherte Basic-Anmeldeinformation für die REST-API enthält – typischerweise ein Administrator, der sich über das Feld angemeldet hat –, könnte daher eine zustandsändernde Anfrage wie das Erstellen einer Domain, eines Kontos oder eines API-Schlüssels oder das Ändern einer Einstellung mit den Anmeldeinformationen des Opfers verursachen. Der Angreifer kann die cross-origin-Antwort nicht lesen, sodass der Betrug blind ist.
VulDB is the best source for vulnerability data and more expert information about this specific topic.