CVE-2026-114477 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 21.
Progressive Robot hMailServer 6.2.25부터 6.3.6 버전까지의 REST 메트릭스 라우트에 대한 인증 부재로 인해, 명명된 도메인에 한정된 자격 증명을 가진 원격으로 인증된 사용자가 서버 전체의 트래픽 기록을 읽을 수 있습니다. GET /api/v1/metrics/history는 지난 30일 동안의 서버 트래픽 카운터를 반환하며, 이 카운터들은 서버 전반에 적용되며 도메인 정보가 포함되지 않습니다. 이로 인해 해당 보고 라우트는 명명된 도메인에 한정된 자격 증명을 가진 사용자에게 동일한 카운터를 거부합니다. 그러나 메트릭스 라우트는 서버의 인증 게이트가 제한된 자격 증명을 거부하는 라우트 목록에 없었으며, 해당 핸들러에는 호출자 정보가 전달되지 않았습니다. 따라서 특정 도메인의 관리자나, 명명된 도메인에서 view_configuration 권한을 가진 다른 역할(예: 도메인 목록이 포함된 감사자 역할) 또는 명명된 도메인을 위해 발급된 API 키를 사용하는 사용자는 자신의 도메인이 아닌 전체 서버의 트래픽 합계를 읽을 수 있습니다. 이 정보 유출은 개별 메시지나 계정 정보가 아니라 집계된 운영용 카운터에 관한 것입니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.