CVE-2026-114470
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Fałszowanie żądań między witrynami w interfejsie API REST programu Progressive Robot hMailServer w wersjach od 6.0.0 do 6.3.6 umożliwia zdalnemu atakującemu zmuszenie przeglądarki uwierzytelnionego użytkownika do wykonania żądania zmiany stanu. Interfejs API REST akceptuje uwierzytelnianie HTTP Basic i odpowiada przeglądarce za pomocą podstawowego pola logowania; przeglądarka buforuje dane uwierzytelniające po otrzymaniu odpowiedzi na skrzynkę i wysyła je z późniejszymi żądaniami do tego źródła, w tym z postem w formularzu najwyższego poziomu z innej witryny, a serwer odczytuje treść żądania niezależnie od zadeklarowanego typu zawartości. Ochrona między witrynami obejmowała tylko sesję plików cookie (nagłówek, którego nie można ustawić w formularzu między witrynami oraz plik cookie SameSite=Strict); HTTP Basic nie był tego przestrzegany. Strona kontrolowana przez osobę atakującą, odwiedzana przez użytkownika, którego przeglądarka przechowuje buforowane podstawowe dane uwierzytelniające dla interfejsu API REST – zazwyczaj jest to administrator, który zalogował się za pośrednictwem skrzynki – może zatem spowodować żądanie zmiany stanu, takie jak utworzenie domeny, konta lub klucza API bądź zmiana ustawień przy użyciu danych uwierzytelniających ofiary. Osoba atakująca nie może odczytać odpowiedzi pochodzącej z innego źródła, więc fałszerstwo jest ślepe.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org