CVE-2026-107571
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Nieprawidłowe domyślne uprawnienia w instalatorze systemu Windows Progressive Robot hMailServer w wersjach od 6.0.0 do 6.3.6 umożliwiają lokalnemu uwierzytelnionemu użytkownikowi uruchomienie kodu jako konta o wysokim poziomie uprawnień serwera pocztowego, gdy produkt jest zainstalowany w folderze, którego uprawnienia są dziedziczone z zapisywalnego elementu nadrzędnego, takiego jak katalog główny dysku. Instalator umieszcza programy serwera w folderze Bin folderu programu i nie przyznaje ani folderowi programu, ani Binowi żadnych własnych uprawnień, więc dziedziczą uprawnienia rodzica. W domyślnej lokalizacji, Program Files, zwykli użytkownicy otrzymują tylko odczyt i wykonanie, co nie ma wpływu na konfigurację; ale instalator akceptuje dowolną ścieżkę bez ostrzeżenia, a folder programu w katalogu głównym woluminu NTFS dziedziczy uprawnienia do zapisu dla szerokiej grupy — Użytkownicy uwierzytelnieni (Modyfikuj) na kliencie Windows, Użytkownicy (tworzą pliki i foldery) na serwerze Windows. Użytkownik lokalny bez uprawnień administratora może następnie zmienić lub zastąpić program usługowy, który działa jako LocalSystem lub jako konto wirtualne usługi, lub programy, które administrator uruchamia z poziomu Bin podczas instalacji i konserwacji, lub umieścić bibliotekę w Bin, którą te programy ładują zamiast kopii systemowej, uzyskując wykonanie kodu z tymi uprawnieniami. Nie ma to wpływu na domyślną instalację Program Files.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org