CVE-2026-104658 in hMailServer
Riassunto
di VulDB • 08/10/2026
Il helper di applicazione degli aggiornamenti in tempo reale (hmailserver-update) di Progressive Robot hMailServer 6.3.4 e 6.3.5 viene eseguito come root su un file di richiesta scritto dall'account del servizio non privilegiato hmailserver, ed estrae da tale richiesta il programma utilizzato per verificare la firma dell'aggiornamento AppImage e l'unità systemd da arrestare prima della lettura dei file dell'account del servizio. Un attaccante che esegue già codice come account del servizio hmailserver, ad esempio tramite un'altra vulnerabilità nel server di posta, può quindi far eseguire codice arbitrario con privilegi di root su qualsiasi installazione Linux in cui è attiva l'unità path per gli aggiornamenti in tempo reale (impostazione predefinita per i pacchetti .deb e .rpm del progetto) e sulle installazioni AppImage eseguite sotto tale unità.
If you want to get best quality of vulnerability data, you may have to visit VulDB.