CVE-2026-114476

Progressive Robot hMailServer 6.3.4 versiyasından 6.3.6 versiyasına qədər olan REST idarəetmə API-dəki yanlış avtorizasiya, adlandırılmış domenlərdə manage_roles icazəsinə malik uzaqdan autentifikasiya olunmuş istifadəçinin (həmin domenlər üçün verilmiş tam əhatəli API açarı və ya domen siyahısı ilə birlikdə serveradmin rolu təyin edilmiş hesab) server administratorunun səlahiyyətlərini əldə etməsinə şərait yaradır. Hesabın admin səviyyəsi ona müəyyən səlahiyyət verir və ona təyin edilmiş rol həmin səlahiyyəti əvəz edir; administrator hesabı məhdudlaşdırmaq üçün məhz bu üsuldan istifadə edərək admin səviyyəsi server administratoru olan hesaba daha dar rol təyin edir. Rolu ləğv edən marşrut (DELETE /api/v1/role-assignments/{address}) yalnız etibarnamənin hesabın həmin an sahib olduğu hüquqları yoxlayırdı, lakin əməliyyatdan sonrakı hüquqları yoxlamırdı. Beləliklə, bu cür etibarnamə öz domenlərindəki admin səviyyəsi server administratoru olan bir hesabdan məhdudlaşdırıcı rolu götürə bilərdi ki, bu da hesabı yenidən server administratoru səlahiyyətinə qaytarardı. İstifadəçi həmin hesab daha dar rola malik olduğu müddətdə onun şifrəsini təyin etdikdən sonra, server administratoru kimi daxil ola bilirdi.