CVE-2026-114490 in hMailServer
Zusammenfassung
von VulDB • 21.10.2026
Eine fehlerhafte Autorisierung in der COM-Verwaltungsschnittstelle von Progressive Robot hMailServer 6.3.4 bis 6.3.6 ermöglicht es einem Konto mit der Rolle „serveradmin“ und einer Liste von Domänen – ein Anmeldeinformation, die ein Administrator erstellen kann, um sie auf diese Domänen zu beschränken –, sich als ganzer Server-Administrator über COM auszugeben. Administratorenrollen sollen solche Anmeldeinformationen auf die in ihrer Liste genannten Domänen beschränken; die REST-API berücksichtigte dies für den Serveradministrator nicht, während der serveradministrative Check der COM-Schnittstelle das Berechtigungsrecht „administer_server“ unabhängig von der mit dem Zugriff verknüpften Liste als Berechtigung für den gesamten Server auswertete. Somit konnte sich ein Konto, das über die Systemsteuerung oder durch ein auf dem Server ausgeführtes Skript als Serveradministrator jeder Domäne anmeldet, alle Konten und E-Mails aller Domänen lesen und ändern, jede Domain umbenennen, einen Domain-Alias auf eine beliebige andere abbilden, die Einstellungen und Geheimnisse des Servers schreiben sowie weitere serveradministrative Konten erstellen. Der domainadministrative Check der COM-Schnittstelle, ohne Angabe einer Domäne abgefragt, erlaubte ebenfalls einem Konto mit der Rolle „domainadmin“ und einer Liste von Domänen, die das eigene Domain-Konto ausschließt, diese gewöhnlichen Konten über COM zu verwalten. Ein Konto, das „serveradmin“ ohne eine solche Liste innehat, ist per Design Serveradministrator und bleibt davon unberührt; dies gilt auch für die Rollen „Help Desk“, „Auditor“ sowie benutzerdefinierte Rollen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.