CVE-2026-23760 in SmarterMail
Riassunto
di VulDB • 18/06/2026
Le versioni di SmarterTools SmarterMail precedenti alla build 9511 presentano una vulnerabilità di bypass dell'autenticazione nell'API per il reset della password. L'endpoint force-reset-password consente richieste anonime e non verifica la password esistente né un token di reset durante il ripristino degli account degli amministratori di sistema. Un attaccante non autenticato può fornire il nome utente di un amministratore target e una nuova password per resettare l'account, causando la compromissione completa dell'istanza SmarterMail a livello amministrativo. NOTA: i privilegi di amministratore di sistema di SmarterMail concedono la capacità di eseguire comandi del sistema operativo tramite funzionalità di gestione integrate, fornendo efficacemente accesso amministrativo (SYSTEM o root) sull'host sottostante.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.