CVE-2026-114489

Progressive Robot hMailServer 6.0.0 və 6.3.6 versiyaları arasındakı REST və COM administrasiya API-larında avtorizasiyanın olmaması, etibarnamələri müəyyən domenlərlə məhdudlaşdırılmış uzaqdan autentifikasiya olunmuş istifadəçiyə çoxmüştəri (multi-tenant) serverində həmin domenlərdən kənar poçt marşrutlandırmasını və domen konfiqurasiyasını dəyişdirməyə imkan verir. Domen administratoru, müəyyən domenlərdə hesabları idarə edən digər rola malik hesab və ya API açarı, yaxud müəyyən domenlər üçün verilmiş tam əhatəli API açarı istənilən ad üçün domen ləqəbi yarada bilər (beləliklə, digər müştərilərin həmin ada gələn poçtları hücumçunun nəzarət etdiyi ünvana yönləndirilə və ya rədd edilə bilər), serverdə mövcud olmayan istənilən ada domeni yenidən adlandıra bilər, qaydanın bind-to-address, send-using-route və ya script-function hərəkətini serverin öz ünvanlarından birinə, konfiqurasiya edilmiş marşrutun saxlanılan etibarnamələrinə və ya serverin hadisə skriptinin funksiyasına çatmaq üçün təyin edə bilər və domen relay hostunu (hansı ki, çatdırılma zamanı heç bir ünvan qaydası olmadan qoşulur) serverin öz şəbəkəsindəki bir ünvana təyin edə bilər; COM API vasitəsilə isə istənilən hesab öz qaydalarında üç qayda hərəkətini təyin edə bilər ki, burada script-function hərəkəti çatdırılma zamanı işə düşür. Avtorizasiya qapısı bu marşrutları məhdudlaşdırılmış etibarnamə üçün rədd etmir və handler-lərə çağırıcı məlumatı ötürülmürdü; COM üzərindən domen ləqəbinin yadda saxlanılması zamanı heç bir avtorizasiya yoxlaması aparılmırdı, domenin yenidən adlandırılması yalnız domen administratoru tələb edirdi və qaydanın yadda saxlanılması üçün maksimum olaraq çağırıcının qaydanın sahibini dəyişdirə bilməsi tələb olunurdu.