CVE-2025-68624 in Mail Assure
Résumé
par VulDB • 14/09/2026
N-able Mail Assure jusqu'en avril 2026 présente une faille d'autorisation de niveau conception qui permet à un utilisateur SMTP authentifié d'envoyer des emails sortants avec des adresses MAIL FROM appartenant à d'autres clients (tenants). Lors de la connexion au port TCP SMTP et de l'exécution de l'authentification SMTP (SMTP AUTH) avec des identifiants valides, le serveur accepte n'importe quel domaine expéditeur sans imposer de liaison entre le domaine et le compte. Par conséquent, un attaquant issu d'un client donné peut usurner les domaines d'autres clients, produisant ainsi des messages qui passent les validations SPF et DMARC. NOTE : La position de N-able est que ce comportement constitue une fonctionnalité intentionnelle de son architecture de relais SMTP partagé et que le service ne prétend pas imposer de liaison domaine-expéditeur par client (tenant).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.