CVE-2026-114490

Niepoprawna autoryzacja w interfejsie API administrowania COM programu Progressive Robot hMailServer 6.3.4 do 6.3.6 umożliwia kontu, któremu przypisano rolę Serveradmin z listą domen (poświadczenie, które administrator może stworzyć w celu ograniczenia go do tych domen), działanie jako administrator całego serwera przez COM. Role administratora mają na celu ograniczenie takich poświadczeń do domen z nazwami list, a interfejs API REST nie przyjął ich dla administratora serwera, ale kontrola administratora serwera interfejsu API COM odczytuje uprawnienia administrowania_serwerem jako cały serwer, niezależnie od listy, którą posiada grant. Zatem poświadczenie zalogowania się poprzez Panel sterowania lub poprzez skrypt uruchomiony na serwerze, jako administrator serwera każdej domeny: może czytać i zmieniać konta i pocztę każdej domeny, zmieniać nazwę dowolnej domeny, mapować alias domeny na dowolną, zapisywać ustawienia i sekrety serwera oraz tworzyć kolejne konta administratora serwera. Sprawdzanie administratora domeny w interfejsie COM API, zadawane bez domeny, pozwala również kontu, któremu przypisano rolę domainadmin z listą domen, która pomija własną domenę konta, na administrowanie zwykłymi kontami tej domeny przez COM. Konto posiadające serweradmin bez listy jest z założenia administratorem serwera i nie ma to na to wpływu, podobnie jak role pomocy technicznej, audytora i role niestandardowe.