CVE-2025-68624 in Mail Assure
Resumen
por VulDB • 2026-09-14
N-able Mail Assure hasta abril de 2026 contiene un fallo de autorización a nivel de diseño que permite a un usuario SMTP autenticado enviar correo electrónico saliente utilizando direcciones MAIL FROM pertenecientes a otros inquilinos (tenants). Al conectarse al puerto TCP del servicio SMTP y realizar la autenticación SMTP con credenciales válidas, el servidor acepta dominios remitentes arbitrarios sin aplicar ninguna vinculación entre dominio y cuenta. Como resultado, un atacante de cualquier tenant puede suplantar los dominios de otros tenants, generando mensajes que superan las validaciones SPF y DMARC. NOTA: La posición de N-able es que este comportamiento es una funcionalidad intencionada de su arquitectura compartida de retransmisión SMTP (SMTP relay) y que el servicio no indica ni garantiza la aplicación de una vinculación por tenant del dominio remitente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.