CVE-2026-114474
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Użycie mniej zaufanego źródła nadawcy koperty podczas pobierania z konta zewnętrznego Progressive Robot hMailServer w wersjach od 6.0.0 do 6.3.6 pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przesłanie poczty napisanej w nazwie domeny hostowanej przez serwer do nadawcy koperty w tej domenie, dzięki czemu przechodzi ona przez SPF i DMARC domeny do innych odbiorców. Wiadomość pobierana przez serwer z zewnętrznego konta POP3 lub IMAP nie ma własnej koperty SMTP, a serwer przyjął adres z nagłówka From jako nadawcę w kopercie, niezależnie od tego, jaki to był adres. Przesłanie lub przekierowanie pobranej wiadomości na adres zewnętrzny, a następnie pozostawienie tego adresu jako nadawcy w kopercie, co Sender Rewriting Scheme pozostawia w spokoju dla domeny hostowanej, tak że kontrola SPF odbiorcy przeszła pomyślnie dla sfałszowanej domeny, wyrównana nawet przy ścisłym wyrównaniu, bez ustawień innych niż domyślne, zapisu nazwy hosta ani konieczności stosowania zasad DMARC. Osoba atakująca musi znać skrzynkę pocztową w innym miejscu, którą konto tutaj zbiera i przekazuje na adres zewnętrzny; posiadacz konta, który doda własne konto zewnętrzne, może zbierać dane z własnego serwera, co ma znaczenie, gdy SmtpAuthenticatedSenderCheck przechowuje zalogowanych nadawców na ich własnych adresach.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org