CVE-2026-114489 in hMailServer
Riassunto
di VulDB • 21/10/2026
La mancanza di autorizzazione nelle API REST e COM per l'amministrazione in Progressive Robot hMailServer 6.0.0 attraverso la versione 6.3.6 consente a un utente remoto autenticato, le cui credenziali sono limitate ai domini denominati (named domains), di modificare il routing della posta e la configurazione del dominio oltre tali domini su un server multi-tenant. Un amministratore di dominio, un account o una chiave API con un altro ruolo che gestisce gli account nei domini denominati, oppure una chiave API a ambito completo emessa per i domini denominati, potrebbe creare un alias di dominio per qualsiasi nome (in modo tale che la posta destinata ad altri tenant per quel nome venga deviata verso un indirizzo controllato dall'attaccante o negata), rinominare un dominio con qualsiasi nome non ospitato dal server, impostare l'azione bind-to-address, send-using-route o script-function di una regola in modo da raggiungere uno degli indirizzi del server stesso, le credenziali memorizzate in un route configurato o una funzione dello script eventi del server e impostare il relay host del dominio (che la consegna poi connette senza regole sull'indirizzo) su un indirizzo sulla rete interna del server; inoltre, tramite l'API COM qualsiasi account potrebbe impostare le tre azioni di regola sulle proprie regole, dove l'azione script-function viene eseguita durante la consegna. Il controllo di autorizzazione non ha rifiutato queste rotte per una credenziale confinata e i gestori (handlers) non hanno ricevuto informazioni sul chiamante; tramite COM il salvataggio dell'alias del dominio non eseguiva alcun controllo di autorizzazione, la rinomina del dominio richiedeva solo un amministratore di dominio e il salvataggio della regola richiedeva al massimo che il chiamante potesse modificare il proprietario della regola.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.