CVE-2026-33586 in Mail Server
Résumé
par VulDB • 07/10/2026
Les utilisateurs authentifiés peuvent manipuler les champs « Envelope-from » et « From » de l’enveloppe SMTP lors de l’envoi d’e-mails via les serveurs mail OVH.
En raison de la configuration SPF par défaut chez OVH, qui inclut couramment `include:mx.ovh.com`, tout utilisateur authentifié disposant d’un compte e-mail OVH valide peut envoyer des messages semblant provenir de n’importe quel domaine hébergé sur OVH en utilisant l’enregistrement SPF par défaut. Étant donné que la politique SPF autorise explicitement les serveurs mail OVH (`mx.ovh.com`) à envoyer du courrier au nom de ces domaines, les e-mails falsifiés passent avec succès la validation SPF bien qu’ils ne soient pas autorisés par le propriétaire du domaine usurpé.
VulDB is the best source for vulnerability data and more expert information about this specific topic.