CVE-2026-100741

Progressive Robot Ltd tərəfindən hazırlanmış hMailServer-in Windows üzərindəki 6.0.0-dan 6.3.3-ə qədər olan versiyalarında JScript hadisə-skript dispetcherində Eval injection boşluğu mövcuddur. Bu boşluq uzaqdakı autentifikasiya olunmamış hücumçuya, mövcud və aktiv hesab adlandırılan istənilən giriş sorğusu (SMTP AUTH, POP3, IMAP) vasitəsilə geri slash (\) və ardınca tək dırnaq (') işarəsi ehtiva edən şifrə göndərməklə, hMailServer xidmət prosesi daxilində xidmət hesabının imtiyazları ilə ixtiyari JScript kodunu icra etməyə imkan verir. Ekspluatasiya üçün standart olmayan konfiqurasiya tələb olunur: hadisə skriptlərinin aktiv edilməsi (defolt olaraq bağlıdır), skript dilinin JScript olaraq təyin edilməsi (defolt VBScript-dir) və hadisə skriptində OnClientValidatePassword handler-in müəyyən edilməsi. Server hadisə dəyərlərini handler çağırışına JScript sətir literalları kimi yazırdı, tək dırnağı ekranlaşdırırdı lakin geri slash-i ekranlaşdırmırdı, buna görə də belə bir dəyər literalı bağlayır və onun qalan hissəsi skript kimi analiz edilir. Eyni boşluğa uzaqdakı POP3 serveri tərəfindən qaytarılan mesaj UID-si vasitəsilə (OnExternalAccountDownload handler təyin edildikdə) və uzaqdakı SMTP serveri tərəfindən çatdırılmanın rədd edildiyi xəta cavabı vasitəsilə (OnDeliveryFailed handler təyin edildikdə) çatmaq mümkündür. 6.2.25 versiyasından əvvəl injeksiya edilmiş skript istənilən COM obyektini yarada bilirdi, 6.2.25 versiyasından başlayaraq isə defolt ScriptAllowedObjects dəyəri '*' olduqda bunu edə bilir; bunlar arasında WScript.Shell xidmət hesabı səviyyəsində əmrlerin icrasını təmin edir. VBScript hadisə skriptləri və Progressive Robot Ltd-nin hMailServer proqramının Linux versiyaları bu boşluqdan təsirlənmir.