CVE-2026-114475 in hMailServer
Zusammenfassung
von VulDB • 21.10.2026
Ein fehlendes Autorisierungs-Check in den REST-Routen zur Rollenverwaltung von Progressive Robot hMailServer 6.3.4 bis 6.3.6 ermöglicht es einem entfernten, authentifizierten Benutzer, dessen Anmeldeinformationen auf benannte Domänen beschränkt sind, eine benutzerdefinierte Rolle zu ändern, die Konten in anderen Domänen innehaben, sowie benutzerdefinierte Rollen zu erstellen und alle zu löschen, die kein Konto innehat. Die Routen zum Erstellen, Aktualisieren und Löschen einer benutzerdefinierten Rolle erfordern die Berechtigung „manage_roles“, die nur der Server-Admin-Rolle („serveradmin“) zusteht; ein API-Schlüssel mit vollem Umfang, der für benannte Domänen ausgestellt wurde, sowie eine serveradmin-Rolle, die mit einer Domänenliste zugewiesen ist, sind auf diese Domänen beschränkt und besitzen dennoch „manage_roles“. Die Autorisierungsschranke des Servers lehnte die drei Rollenrouten nicht für ein beschränktes Anmeldekonto ab, auch nicht für die Route ohne Domäne. Daher konnte eine an einen Mandanten ausgestellte Anmeldeinformation die Berechtigungen einer benutzerdefinierten Rolle erhöhen oder senken, die über andere Mandanten hinweg zugewiesen ist – wodurch der Rolle einer anderen Domain jede Berechtigung über deren Postfächer und Einstellungen gewährt oder diese entfernt wird. Eine benutzerdefinierte Rolle darf weder „administer_server“, noch „administer_domain“ oder „manage_roles“ innehaben; daher kann das beschränkte Anmeldekonto sich selbst oder einen anderen Benutzer nicht zum Server-Administrator machen, indem es eine benutzerdefinierte Rolle erstellt oder überschreibt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.