CVE-2026-104660

Progressive Robot hMailServer 6.0.0 və 6.3.5 versiyaları arasındakı (yalnız Windows) COM obyektlərində avtorizasiyanın olmaması, hMailServer etibarnamələri olmayan lokal interaktiv istifadəçiyə servis hesabı adından ixtiyari faylları oxumağa və yazmağa, həmçinin istənilən göndərəndən e-poçtları növbəyə almağa imkan verir. Servis öz COM siniflərini heç bir DCOM giriş və ya başlatma icazəsi olmadan qeydiyyatdan keçirir və təhlükəsizlik deskriptoru olmadan CoInitializeSecurity funksiyasını çağırır, buna görə də konsolda və ya Uzaq Masaüstü (Remote Desktop) vasitəsilə daxil olmuş istənilən istifadəçi işlək servisdəki sinifləri aktivləşdirə bilər; bu yolla yaradılan hMailServer.Message, onun Attachments və Attachment obyektləri ilə hMailServer.FetchAccount heç vaxt autentifikasiya olunmamış etibarnaməyə malik olur. Attachments.Add(path) və Attachment.SaveAs(path) metodları heç bir avtorizasiya yoxlaması aparmırdı, Message.Save/Copy və FetchAccount.AccountID/Save isə 6.3.3 versiyasına qədər heç bir yoxlama aparmırdı, 6.3.4 versiyasından başlayaraq isə etibarnaməsi olmayan sahibkarı serverin öz hadisə-skript hostu kimi qəbul edirdi. Servis COM çağıran şəxsi impersonat etmədiyi üçün, Attachments.Add servisin hesabının oxuya bildiyi istənilən faylı oxuyur və qaytarır, Attachment.SaveAs hücum edənin seçdiyi baytları yaza bildiyi istənilən yola yazır (LocalSystem quraşdırılmasında SYSTEM səviyyəsində kodun icrası), Message.Save SMTP yoxlamalarını keçərək istənilən ünvandan çıxan poçtu növbəyə alır və FetchAccount istənilən poçt qutusuna məktub gətirmə tapşırığı əlavə edir. Bir Application tərəfindən təqdim edilən obyektlər, həmin Application üzərində sonrakı Authenticate əməliyyatı uğursuz olduqda da eyni şəkildə davranır.