CVE-2026-104660

Brakująca autoryzacja obiektów COM w Progressive Robot hMailServer od 6.0.0 do 6.3.5 (tylko Windows) umożliwia lokalnemu użytkownikowi interaktywnemu bez uwierzytelnienia hMailServer odczytywanie i zapisywanie dowolnych plików jako konto usługi oraz kolejkowanie poczty jako dowolnego nadawcy. Usługa rejestruje swoje klasy COM bez dostępu DCOM ani uprawnień do uruchamiania i wywołuje CoInitializeSecurity bez deskryptora zabezpieczeń, dzięki czemu każdy użytkownik zalogowany na konsoli lub za pośrednictwem Pulpitu zdalnego może aktywować klasy w działającej usłudze; hMailServer.Message, jego załączniki i załącznik oraz utworzone w ten sposób konto hMailServer.FetchAccount zawierają dane uwierzytelniające, które nigdy nie zostały uwierzytelnione. Załączniki.Add(ścieżka) i Załącznik.SaveAs(ścieżka) nie przeprowadzały żadnej kontroli autoryzacji, a Message.Save/Copy i FetchAccount.AccountID/Save nie wykonywały żadnej kontroli aż do wersji 6.3.3 i od wersji 6.3.4 traktowały posiadacza bez poświadczeń jako własnego hosta skryptu zdarzeń serwera. Ponieważ usługa nie podszywa się pod wywołującego COM, załączniki.Add odczytuje dowolny plik, który konto usługi może odczytać, i zwraca go, załącznik.SaveAs zapisuje wybrane przez atakującego bajty w dowolnej ścieżce, jaką może zapisać (w instalacji LocalSystem, wykonanie kodu jako SYSTEM), Message.Save kolejkuje pocztę wychodzącą z dowolnego adresu przez kontrolę SMTP, a FetchAccount dołącza zadanie pobierania poczty do dowolnej skrzynki pocztowej. Obiekty przekazane przez Aplikację zachowują się tak samo, gdy późniejsze uwierzytelnienie w tej Aplikacji zakończy się niepowodzeniem.