CVE-2026-107568

Brak autoryzacji w akcji powiadamiania przez sito (od 6.2.22 do 6.3.6) oraz w akcji odpowiedzi na regułę poczty (od 6.0.0 do 6.3.6) programu Progressive Robot hMailServer umożliwia uwierzytelnionemu użytkownikowi wysyłanie poczty przez serwer pod dowolnym adresem. Powiadomienie Sieve wysyła wiadomość z powiadomieniem, a znacznik :from określa nadawcę; serwer ustawił nagłówek From powiadomienia na nagłówek :from tak, jak napisał to skrypt, bez sprawdzania, czy adres należy do konta - sprawdzenie, czy akcja Sieve Vacation dotyczy jego własnego :from i czy serwer dotyczy nadawcy poczty oczekującej w kolejce przez COM lub wysłanej z poczty internetowej. Konto, które może przechowywać skrypt Sieve (za pośrednictwem ManageSieve, filtra samoobsługowego interfejsu API REST lub interfejsu administracyjnego) może zatem spowodować, że serwer wyśle ​​powiadomienie z dowolnego adresu, na tym serwerze lub gdziekolwiek; a jeśli żądany adres znajduje się w domenie hostowanej przez serwer z włączonym podpisywaniem DKIM, serwer podpisał powiadomienie kluczem DKIM tej domeny, ponieważ podpisuje się za pomocą domeny nagłówka From, tworząc sfałszowaną pocztę dostosowaną do przekazywania zasad DMARC domeny. Akcja powiadamiania i to zachowanie zostały wprowadzone w wersji 6.2.22. W silniku reguł pocztowych odpowiedź reguły została również wysłana z dowolnego adresu, do którego została nazwana akcja, bez względu na to, do kogo należała reguła, więc konto działające na podstawie własnych reguł za pośrednictwem COM, administratora domeny lub klucza API ograniczonego do domeny (za pośrednictwem interfejsu API REST z wersji 6.3.4) mogło otrzymać odpowiedź reguły domeny lub konta z dowolnego adresu, podpisaną, jeśli ten adres znajduje się w domenie hostowanej przez serwer z włączonym podpisywaniem DKIM i kluczem tej domeny.