CVE-2026-100741
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wstrzyknięcie eval do modułu rozsyłającego skrypty zdarzeń JScript w hMailServer firmy Progressive Robot Ltd w wersjach od 6.0.0 do 6.3.3 w systemie Windows umożliwia zdalnemu, nieuwierzytelnionemu atakującemu uruchomienie dowolnego kodu JScript w procesie usługi hMailServer z uprawnieniami konta usługi za pomocą hasła zawierającego ukośnik odwrotny, po którym następuje apostrof, wysyłanego podczas dowolnego logowania (SMTP AUTH, POP3, IMAP) zawierającego nazwę istniejące, aktywne konto. Eksploatacja wymaga konfiguracji innej niż domyślna: włączonego skryptu zdarzeń (domyślnie wyłączonego), języka skryptowego ustawionego na JScript (domyślnie jest to VBScript) i procedury obsługi OnClientValidatePassword zdefiniowanej w skrypcie zdarzenia. Serwer zapisał wartości zdarzeń w wywołaniu procedury obsługi jako literały łańcuchowe JScript, unikając apostrofu, ale nie ukośnika odwrotnego, więc taka wartość zamyka literał, a reszta jest analizowana jako skrypt. Ta sama usterka jest dostępna dla zdalnego serwera POP3 poprzez komunikat UID, który zwraca, gdzie zdefiniowana jest procedura obsługi OnExternalAccountDownload, oraz przez zdalny serwer SMTP poprzez odpowiedź na błąd, z którą odrzuca dostawę, gdzie zdefiniowana jest procedura obsługi OnDeliveryFailed. Przed wersją 6.2.25 wstrzyknięty skrypt może utworzyć dowolny obiekt COM, a od wersji 6.2.25 może to zrobić z domyślną wartością ScriptAllowedObjects wynoszącą „*”; Wśród nich WScript.Shell umożliwia wykonanie poleceń jako konto usługi. Nie ma to wpływu na skrypty zdarzeń VBScript i kompilacje hMailServer firmy Progressive Robot Ltd na Linuksa.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org