CVE-2026-107566

Brak autoryzacji w akcji edycji nagłówka Sieve (od 6.2.22 do 6.3.6) i w akcji reguły poczty Ustaw wartość nagłówka (od 6.0.0 do 6.3.6) programu Progressive Robot hMailServer umożliwia uwierzytelnionemu użytkownikowi zmuszenie serwera do wysyłania poczty pod dowolnym adresem z podpisem DKIM, jeśli adres znajduje się w domenie, pod którą serwer się podpisuje. Nagłówek edycji skryptu Sieve (addheader/deleteheader) może dodać lub usunąć dowolne pole nagłówka z wyjątkiem Odebrane i Return-Path, a serwer stosuje zmiany nagłówka skryptu przed umieszczeniem w kolejce przekierowania, więc przekierowana kopia jest wysyłana tak, jak skrypt ją opuścił. Serwer podpisuje pierwszy przebieg dostarczenia wiadomości jako domenę wymienioną w nagłówku From, gdziekolwiek podpisze DKIM dla tej domeny, a wiadomość nie zawiera jej podpisu. Skrypt może zatem usunąć i ponownie dodać Od – adres innego konta lub dowolnej osoby w domenie hostowanej – i przekierować, więc serwer wysłał wiadomość pod tą nazwą, a w przypadku domeny hostowanej podpisał ją kluczem DKIM tej domeny, co jest fałszerstwem dostosowanym do przekazania DMARC domeny; lub, jeśli serwer podpisuje się pod domeną innego nadawcy, usuń podpis DKIM, z którym przyszła wiadomość nadawcy, zmień pole i przekieruj, aby serwer ponownie podpisał zmienioną wiadomość jako domenę tego nadawcy. editheader nie nałożył żadnych ograniczeń na Od, Nadawca, Wysłano ponownie od, Wysłano ponownie nadawcę lub Podpis DKIM. Akcja editheader została wprowadzona w wersji 6.2.22. W silniku reguł pocztowych akcja Ustaw wartość nagłówka domeny lub konta może podobnie ustawić From, Sender, Resent-From, Resent-Sender lub DKIM-Signature przed przekazaniem dalej lub kopią, niezależnie od tego, do kogo reguła należała, tak aby konto działające na własnych regułach przez COM, administrator domeny lub klucz API ograniczony do domeny (przez API REST z 6.3.4) mogło przekierować serwer lub skopiuj wiadomość na dowolny adres, podpisaną, jeśli ten adres znajduje się w domenie, na której znajduje się serwer z włączonym podpisywaniem DKIM, z kluczem tej domeny.