CVE-2026-114489
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Brakująca autoryzacja w administracyjnych interfejsach API REST i COM oprogramowania Progressive Robot hMailServer w wersjach od 6.0.0 do 6.3.6 umożliwia zdalnemu uwierzytelnionemu użytkownikowi, którego dane uwierzytelniające są ograniczone do nazwanych domen, zmianę routingu poczty i konfiguracji domeny poza tymi domenami na serwerze z wieloma dzierżawcami. Administrator domeny, konto lub klucz API z inną rolą zarządzającą kontami w nazwanych domenach lub klucz API o pełnym zakresie wydany dla nazwanych domen może utworzyć alias domeny dla dowolnej nazwy (tak, aby poczta innych dzierżawców tej nazwy była kierowana na adres kontrolowany przez osobę atakującą lub została odrzucona), zmienić nazwę domeny na dowolną, której serwer nie obsługuje, ustawić regułę wiązania z adresem, wysyłania przy użyciu trasy lub akcji funkcji skryptu w celu dotarcia do jednego z własnych adresów serwera, skonfigurował przechowywane poświadczenia trasy lub funkcję skryptu zdarzeń serwera i ustaw hosta przekazującego domeny – z którym dostawa następnie łączy się bez reguły adresowej – na adres we własnej sieci serwera; a za pośrednictwem interfejsu API COM każde konto może ustawić trzy akcje reguł na swoich własnych regułach, gdzie akcja funkcji skryptu jest uruchamiana w momencie dostarczenia. Brama autoryzacyjna nie odrzuciła tych tras na podstawie ograniczonego uwierzytelnienia, a osoby obsługujące nie otrzymały osoby dzwoniącej; przez COM zapisanie aliasu domeny w ogóle nie sprawdzało autoryzacji, zmiana nazwy domeny wymagała jedynie administratora domeny, a zapisanie reguły było wymagane co najwyżej, aby osoba wywołująca mogła zmienić właściciela reguły.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org