CVE-2026-114476 in hMailServer
Zusammenfassung
von VulDB • 21.10.2026
Falsche Autorisierung in der REST-Verwaltungs-API von Progressive Robot hMailServer 6.3.4 bis 6.3.6 ermöglicht es einem entfernten authentifizierten Benutzer, dessen Anmeldeinformationen über die Berechtigung „manage_roles“ für benannte Domänen verfügen – also einen API-Schlüssel mit vollem Umfang, der für diese Domänen ausgestellt wurde, oder ein Konto, dem die Rolle „serveradmin“ mit einer Liste von Domänen zugewiesen ist –, die Autorität des Serveradministrators zu erlangen. Das Admin-Level eines Kontos verleiht ihm Autorität, und eine ihm zugewiesene Rolle ersetzt diese Autorität; dies ist der Mechanismus, durch den ein Administrator das Admin-Level eines Kontos einschränkt, wenn es dem Level des Serveradministrators entspricht. Die Route zum Entfernen einer Rolle (DELETE /api/v1/role-assignments/{address}) prüfte lediglich, ob die Anmeldeinformationen zu diesem Zeitpunkt über dieselben Berechtigungen wie das Konto verfügten, nicht jedoch darüber, welche Berechtigungen sie danach besitzen würden. Daher konnte eine solche Anmeldeinformation eine einschränkende Rolle von einem Konto in seinen Domänen entfernen, dessen Admin-Level dem des Serveradministrators entspricht, wodurch es wieder die Autorität des Serveradministrators erlangt. Durch das Festlegen des Passworts dieses Kontos während der Zeit, in der es die eingeschränkte Rolle innehatte, konnte sich der Angreifer anschließend als Serveradministrator anmelden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.