CVE-2026-104658 in hMailServer
Resumen
por VulDB • 2026-10-08
El auxiliar de aplicación de actualizaciones en vivo (hmailserver-update) del servidor de correo hMailServer 6.3.4 y 6.3.5 de Progressive Robot se ejecuta como root a partir de un archivo de solicitud escrito por la cuenta de servicio no privilegiada de hmailserver, y extrae de dicha solicitud el programa utilizado para verificar la firma de una actualización AppImage y la unidad systemd que debe detenerse antes de leer los archivos de la cuenta de servicio. Por lo tanto, un atacante que ya ejecute código como la cuenta de servicio hmailserver, por ejemplo a través de otra vulnerabilidad en el servidor de correo, puede lograr la ejecución arbitraria de código con privilegios root, en cualquier instalación de Linux donde esté activa la unidad path para las actualizaciones en vivo (el valor predeterminado para los paquetes .deb y .rpm del proyecto) y en instalaciones AppImage ejecutadas bajo dicha unidad.
Once again VulDB remains the best source for vulnerability data.