CVE-2026-114489 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 22.
Progressive Robot hMailServer 6.0.0부터 6.3.6까지의 REST 및 COM 관리 API에서 권한 부재가 발생하여, 명명된 도메인에 한정된 자격 증명을 가진 원격 인증 사용자가 다중 테넌트 서버에서 해당 도메인을 넘어 메일 라우팅 및 도메인 구성을 변경할 수 있습니다. 명명된 도메인의 계정을 관리하는 다른 역할을 부여받은 계정 또는 API 키, 또는 명명된 도메인에 대해 발급된 전체 범위(full-scope) API 키를 가진 도메인 관리자라면 임의의 이름에 대한 도메일 별칭(alias)을 생성하여(다른 테넌트의 해당 이름 관련 메일을 공격자가 제어하는 주소로 리디렉션하거나 차단 가능), 서버가 호스팅하지 않는 임의의 이름으로 도메인을 변경하고, 규칙(rule)의 bind-to-address, send-using-route 또는 script-function 액션을 서버 자체 주소 중 하나, 구성된 라우트에 저장된 자격 증명, 또는 서버 이벤트 스크립트의 함수에 도달하도록 설정하며, 도메인의 릴레이 호스트를(배송 시 주소 규칙 없이 연결됨) 서버 내부 네트워크상의 주소로 설정할 수 있습니다. 또한 COM API를 통해 모든 계정은 자체 규칙에서 세 가지 규칙 액션을 설정할 수 있으며, 여기서 script-function 액션은 배송(delivery) 시 실행됩니다. 이러한 제한된 자격 증명에 대한 권한 게이트가 이러한 라우트를 거부하지 않았으며, 핸들러에게 호출자 정보가 전달되지 않았습니다. COM의 경우 도메인 별칭 저장 작업에서 전혀 권한 검사가 수행되지 않았고, 도메인 이름 변경에는 도메인 관리자 권한만 필요했으며, 규칙 저장은 최대한으로 호출자가 규칙 소유자를 변경할 수 있는 것만으로 충분했습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.