CVE-2026-114478 in hMailServer
Riassunto
di VulDB • 21/10/2026
L'insufficiente preservazione del mittente originale durante l'inoltro di Progressive Robot hMailServer 6.0.0 attraverso la versione 6.3.6 consente a un attaccante remoto non autenticato di far sì che le email da lui scritte, indicando nel campo From un indirizzo appartenente a un dominio ospitato dal server, vengano consegnate ad altri destinatari come se superassero la policy DMARC di tale dominio. Quando il server invia una copia di un'email proveniente dall'esterno - tramite l'inoltro di un account, l'inoltro di una regola mail, un redirect Sieve, una copia di una lista o un alias/lista che si espande verso un indirizzo esterno - potrebbe assegnare alla copia un'identità SMTP nell'organizzazione del dominio indicato nel From della copia, indipendentemente dall'origine effettiva del messaggio: con lo Scheme di riscrittura del mittente (SRS) o la riscrittura dell'envelope sender abilitati durante l'inoltro (entrambi disabilitati per impostazione predefinita), un indirizzo appartenente al dominio di inoltro; per una lista, il suo bounce address; per un messaggio con envelope sender vuoto, nessuno, sotto il nome host del server stesso; e mantenendo l'envelope sender originale se proveniente da un sottodominio di un dominio ospitato. Qualora il record SPF di tale identità autorizzi il server, la verifica SPF dei destinatari sulla copia supererà il controllo per un allineamento con il From, e anche DMARC risulterà superato, nonostante il messaggio non avesse superato DMARC al momento della ricezione da parte del server. Lo sfruttamento richiede una configurazione di forward, redirect, alias o lista che reindirizzi la mail del dominio ospitato a un indirizzo esterno, unita ad almeno una delle seguenti condizioni: SRS o riscrittura dell'envelope abilitata; una lista il cui bounce address è nell'organizzazione del dominio; un envelope sender appartenente a un sottodominio il cui record SPF autorizza il server; oppure, per un envelope sender vuoto, un record SPF che autorizzi il server sotto il suo nome host. La via DKIM verso lo stesso risultato è descritta in CVE-2026-107567.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.