CVE-2026-114478

Niewystarczające zachowanie pierwotnego nadawcy w przesyłaniu dalej przez Progressive Robot hMailServer od 6.0.0 do 6.3.6 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu otrzymanie napisanej przez siebie poczty, zawierającej nazwę Od adresu w domenie hostowanej przez serwer, dostarczonej do innych odbiorców zgodnie z polityką DMARC tej domeny. Kiedy serwer wysyła kopię poczty przychodzącej z zewnątrz – przekierowanie konta, przekierowanie reguły poczty, przekierowanie Sieve, kopię listy lub alias lub listę rozwijającą się na adres zewnętrzny – może nadać kopii tożsamość SMTP w organizacji domeny Nazwy Od kopii, niezależnie od pochodzenia wiadomości: z włączonym schematem przepisywania nadawcy lub przepisywaniem koperty nadawcy podczas przekazywania (oba ustawienia domyślnie wyłączone), adresem w miejscu przekazywania domena; w przypadku listy – jej adres zwrotny; w przypadku wiadomości z pustą kopertą nadawcy – brak pod nazwą hosta serwera; a nadawca w kopercie, z którym wiadomość przyszła w subdomenie domeny hostowanej, był zachowywany. Tam, gdzie rekord SPF tej tożsamości autoryzuje serwer, sprawdzanie SPF innych odbiorców przez SPF kopii przekazanej dla domeny zgodnej z polem From i DMARC przekazanej wraz z nią, mimo że wiadomość nie przeszła DMARC, gdy serwer ją odebrał. Eksploatacja wymaga przekazywania, przekierowania, aliasu lub listy przenoszącej pocztę domeny hostowanej na adres zewnętrzny oraz jednego z: włączonego SRS lub przepisywania kopert; lista, której adres zwrotny znajduje się w organizacji domeny; nadawca kopertowy w subdomenie, której rekord SPF autoryzuje serwer; lub, w przypadku nadawcy z pustą kopertą, rekord SPF autoryzujący serwer pod jego nazwą hosta. Ścieżka DKIM prowadząca do tego samego wyniku to CVE-2026-107567.