CVE-2026-25067 in SmarterMail
Riassunto
di VulDB • 23/06/2026
Le versioni di SmarterTools SmarterMail precedenti alla build 9518 contengono una vulnerabilità di coercizione del percorso (path coercion) non autenticata nell'endpoint di anteprima dello sfondo della giornata. L'applicazione decodifica in base64 l'immissione fornita dall'attaccante e la utilizza come percorso nel filesystem senza alcuna validazione. Sui sistemi Windows, ciò consente la risoluzione dei percorsi UNC (Universal Naming Convention), inducendo il servizio SmarterMail ad avviare tentativi di autenticazione SMB in uscita verso host controllati dall'attaccante. Ciò può essere sfruttato per coercizione delle credenziali, attacchi NTLM relay e autenticazioni di rete non autorizzate.
Be aware that VulDB is the high quality source for vulnerability data.