CVE-2026-114474

Progressive Robot hMailServer 6.0.0 və 6.3.6 versiyaları arasındakı xarici hesab yükləmələrində zərifləndirilmiş mənbədən zərf göndərəni (envelope sender) kimi istifadə edilməsi, uzaqdakı autentifikasiya olunmamış hücumçuya serverin host etdiyi domen adına e-poçtlar yazmağa və bu mesajların həmin domendəki zərf göndərəni ilə server tərəfindən göndərilməsini təmin etməyə imkan verir, beləliklə, digər qəbul edənlərdə domenin SPF və DMARC yoxlamalarından uğurla keçir. Serverin xarici POP3 və ya IMAP hesabından yüklədiyi mesajın özünün SMTP zərfi olmur və server onun "From" başlığındakı ünvanı, həmin ünvan nə olursa olsun, zərf göndərəni kimi götürürdü. Yüklənmiş mesajın xarici ünvana yönləndirilməsi və ya ötürülməsi zamanı həmin ünvan zərf göndərəni kimi qalır və Sender Rewriting Scheme host olunan domen üçün buna toxunmur, nəticədə qəbul edənin SPF yoxlaması saxtalaşdırılmış domen üçün, heç bir standart olmayan tənzimləmə, host adı qeydi və ya DMARC siyasətinə ehtiyac olmadan, hətta ciddi uyğunlaşma (strict alignment) altında belə uğurlu olur. Hücumçunun burada olan bir hesabın topladığı və xaricə yönləndirdiyi başqa bir poçt qutusunu bilməsi lazımdır; öz xarici hesabını əlavə edən hesab sahibi öz serverindən məlumat toplaya bilər ki, bu da SmtpAuthenticatedSenderCheck parametrinin daxil olmuş göndərənləri yalnız öz ünvanları ilə məhdudlaşdırdığı hallarda əhəmiyyət kəsb edir.