CVE-2026-107573 in hMailServer
Riassunto
di VulDB • 08/10/2026
Permessi predefiniti errati nell'installer di Windows di Progressive Robot hMailServer dalle versioni 6.0.0 alla 6.3.5 consentono a un utente locale autenticato di leggere i dati del server di posta. L'installer crea le cartelle dei dati, dei log, temporanee, del database e degli eventi, nonché il file di configurazione hMailServer.INI con i permessi ereditati dalla cartella di installazione, che per impostazione predefinita si trova in Program Files; ciò concede al gruppo Utenti locali l'accesso in lettura. Qualsiasi utente in grado di accedere al computer può leggere ogni messaggio memorizzato, i log, il database integrato contenente gli hash delle password degli account quando il servizio è arrestato e il file di configurazione, inclusa la password del database, che è protetta solo con la chiave DPAPI della macchina e può essere decifrata da qualsiasi account locale; in caso di utilizzo di un database esterno, tale password fornisce il controllo completo dello stesso. L'AppImage per Linux delle versioni 6.3.0 alla 6.3.5 crea analogamente le proprie cartelle dei dati per utente leggibili dagli altri utenti locali.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.