CVE-2026-103647 in hMailServer
要約
〜によって VulDB • 2026年10月08日
Progressive Robot hMailServer 6.3.2 から 6.3.5 のウェブメールにおけるクロスサイトスクリプティング（XSS）により、ユーザーに暗号化メッセージを送信できるリモート攻撃者が、そのユーザーのセッションを使用してウェブメールのオリジンでスクリプトを実行できます。ウェブメールがブラウザ内で S/MIME メッセージ（6.3.2 以降）または OpenPGP メッセージ（6.3.4 以降）を復号する際、各復号された添付ファイルは、メッセージが宣言したメディアタイプを持つ blob URL として提供されました。クリックするとファイルが保存されますが、ユーザーが新しいタブで添付ファイルを開くと、text/html と宣言されている部分がウェブメールのオリジンとしてのドキュメントとしてレンダリングされ、そのスクリプトによってメールボックスへの読み取り、メール送信、REST API を介したアカウント変更が可能になります。このウェブメールは REST API が有効な場合にのみ提供されますが、デフォルトでは無効になっています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.