CVE-2026-114478

Progressive Robot hMailServer 6.0.0 versiyasından 6.3.6 versiyasına qədər olan versiyalarda yönləndirmə zamanı orijinal göndərənin kifayət qədər qorunmaması, uzaqdakı autentifikasiya olunmamış hücumçunun "From" sahəsində serverin host etdiyi domenə aid ünvan qeyd edərək yazdığı e-poçtların digər qəbulçulara həmin domenin DMARC siyasətindən keçmiş kimi çatdırılmasına imkan verir. Server kənardan gələn məktubun surətini göndərdikdə — hesabın yönləndirilməsi, məktub qaydasının yönləndirilməsi, Sieve yönləndirməsi, siyahının surəti və ya kənar ünvana açılan alias və ya siyahı vasitəsilə — mesajın mənşəyindən asılı olmayaraq, surətə "From" hissəsində qeyd olunan domenin təşkilatına aid SMTP kimliyi verə bilirdi: Sender Rewriting Scheme (SRS) və ya yönləndirmə zamanı zərf göndərəcinin yenidən yazılması aktiv olduqda (hər ikisi standart olaraq bağlıdır), yönləndirmə domenindəki bir ünvan; siyahı üçün onun geri qayıtma (bounce) ünvanı; boş zərf göndərəci olan mesaj üçün serverin öz host adı altında heç bir ünvan; və host edilən domenin alt domenində olan zərf göndərəci saxlanılırdı. Həmin kimliyin SPF qeydi serveri səlahiyyətləndirdiyi halda, digər qəbulçuların surət üzərində apardığı SPF yoxlaması "From" ilə uyğunlaşan domen üçün uğurlu olurdu və bununla birlikdə DMARC də keçirdi, halbuki server mesajı qəbul etdikdə o, DMARC-dən keçməmişdi. İstismar üçün host edilən domenin poçtlarını kənar ünvana daşıyan yönləndirmə, redirect, alias və ya siyahı, həmçinin aşağıdakılardan biri tələb olunur: SRS və ya zərf yenidən yazılmasının aktiv olması; geri qayıtma ünvanı domenin təşkilatında olan siyahı; SPF qeydi serveri səlahiyyətləndirən alt domendəki zərf göndərəci; və ya boş zərf göndərəci üçün serveri öz host adı altında səlahiyyətləndirən SPF qeydi. Eyni nəticəyə aparan DKIM yolu CVE-2026-107567 ilə müəyyən edilmişdir.