CVE-2026-114477 in hMailServer
Zusammenfassung
von VulDB • 21.10.2026
Ein fehlendes Autorisierungs-Check im REST-Metriken-Routen von Progressive Robot hMailServer 6.2.25 bis 6.3.6 ermöglicht es einem entfernten authentifizierten Benutzer, dessen Berechtigung auf benannte Domänen beschränkt ist, die serverweite Traffic-Historie zu lesen. GET /api/v1/metrics/history gibt die Server-Traffic-Zähler über die letzten 30 Tage zurück; diese Zähler sind serverweit und tragen keine Domain-Informationen, weshalb die Berichts-Routen dieselben Zähler für eine auf benannte Domänen beschränkte Berechtigung bereits ablehnen. Die Metriken-Route war nicht unter den Routen, bei denen das Autorisierungs-Gate des Servers eine eingeschränkte Berechtigung verweigert, und sein Handler erhielt keinen Aufrufer-Kontext, sodass ein Domain-Administrator, ein Konto mit einer anderen Rolle, die view_configuration in benannten Domänen besitzt (z. B. die Auditor-Rolle mit einer Liste von Domänen), oder ein API-Schlüssel, der für benannte Domänen ausgestellt wurde, die gesamten Traffic-Gesamtzahlen des ganzen Servers statt nur seiner eigenen Domänen lesen können. Die Offenlegung betrifft aggregierte Betriebs-Zähler und keine Nachrichten oder Konten.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.