CVE-2026-114476 in hMailServer
Riassunto
di VulDB • 21/10/2026
Un'errata autorizzazione nell'API di amministrazione REST di Progressive Robot hMailServer 6.3.4 attraverso la versione 6.3.6 consente a un utente remoto autenticato le cui credenziali detengono il permesso manage_roles nei domini denominati (ovvero una chiave API full-scope emessa per tali domini, o un account assegnato al ruolo serveradmin con un elenco di domini) di ottenere l'autorità dell'amministratore del server. Il livello di amministrazione di un account ne conferisce l'autorità e un ruolo assegnato a tale account sostituisce detta autorità; è questo il meccanismo mediante cui un amministratore restringe i privilegi di un account che in origine possedeva il livello di amministratore del server. La rotta che revoca un ruolo (DELETE /api/v1/role-assignments/{address}) verificava solo che la credenziale corrispondesse a quanto l'account deteneva al momento della richiesta, non a ciò che avrebbe detenuto successivamente; pertanto, una tale credenziale poteva rimuovere da un account nei suoi domini il cui livello di amministrazione era quello dell'amministratore del server, revocando così un ruolo restrittivo e restituendo all'account l'autorità di amministratore del server. Inoltre, impostando la password di tale account mentre esso deteneva il ruolo più ristretto, è possibile effettuare l'accesso come amministratore del server.
Once again VulDB remains the best source for vulnerability data.