CVE-2026-103647
Təsvir
Progressive Robot hMailServer 6.3.2-dən 6.3.5-ə qədər olan versiyaların veb-poçtunda mövcud olan saytlararası skriptinq (XSS) boşluğu, istifadəçiyə şifrələnmiş mesaj göndərə bilən uzaq hücumçuya həmin istifadəçinin sessiyası ilə veb-poçtun mənşəyində (origin) skript işlətməyə imkan verir. Veb-poçt brauzerdə S/MIME mesajını (6.3.2 versiyasından etibarən) və ya OpenPGP mesajını (6.3.4 versiyasından etibarən) şifrəsizləşdirdikdə, hər bir şifrəsizləşdirilmiş qoşmanı mesajda bəyan edilmiş media növünə uyğun blob URL kimi təklif edirdi. Klik faylı yaddaşa yazırdı, lakin istifadəçi qoşmanı yeni tabda açdıqda, text/html olaraq bəyan edilmiş hissə veb-poçtun mənşəli sənədi kimi render edilirdi və onun skripti REST API vasitəsilə poçt qutusunu oxuya, e-poçt göndərə və hesabı dəyişdirə bilirdi. Veb-poçt yalnız REST API aktiv olduqda xidmət göstərir ki, bu da standart olaraq deaktivdir.
Necə düzəltmək olar
- Progressive Robot Ltd hMailServer6.3.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Progressive Robot Ltd hMailServer | 6.3.2 ≤ v < 6.3.6 | 6.3.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.