CVE-2026-103647

Progressive Robot hMailServer 6.3.2 ile 6.3.5 arasındaki sürümlerin webmail özelliğindeki siteler arası betik çalıştırma (XSS) zafiyeti, bir kullanıcıya şifreli mesaj gönderebilen uzaktan bir saldırganın, söz konusu kullanıcının oturumuyla webmail kökeninde betik çalıştırmasına olanak tanır. Webmail, tarayıcıda bir S/MIME mesajını (6.3.2 sürümünden itibaren) veya bir OpenPGP mesajını (6.3.4 sürümünden itibaren) çözdüğünde, çözülen her eki mesaj tarafından beyan edilen medya türünde bir blob URL olarak sunuyordu. Bir tıklama dosyayı kaydediyordu ancak kullanıcı eki yeni bir sekmede açarsa, text/html olarak beyan edilen bir kısım webmail kökenli bir belge olarak işleniyor ve içindeki betik; REST API aracılığıyla posta kutusunu okuyabiliyor, e-posta gönderebiliyor ve hesabı değiştirebiliyordu. Webmail, yalnızca varsayılan olarak etkin olmayan REST API etkinleştirildiğinde hizmet vermektedir.