CVE-2026-107568

Progressive Robot hMailServer'ın Sieve notify eylemindeki (6.2.22 ile 6.3.6 arası) ve mail-rule Reply eylemindeki (6.0.0 ile 6.3.6 arası) yetkilendirme eksikliği, kimliği doğrulanmış bir kullanıcının sunucu üzerinden herhangi bir adresle e-posta göndermesine olanak tanır. Bir Sieve notify bildirimi gönderir ve :from etiketi göndereni belirtir; sunucu, adresin hesaba ait olup olmadığını kontrol etmeden bildiriminin From üst bilgisini betiğin yazdığı şekliyle bu :from değerine ayarlar - oysa Sieve vacation eylemi kendi :from değeri için ve sunucu ise COM üzerinden kuyruğa alınan veya webmail üzerinden gönderilen postaların göndereni için bu kontrolü uygular. Bu nedenle, bir Sieve betiği saklayabilen bir hesap (ManageSieve, REST API'nin self-service filtresi veya yönetim arayüzü üzerinden), sunucunun bu sunucuda veya herhangi bir yerdeki herhangi bir adresten bildirim göndermesini sağlayabilir; beyan edilen adresin sunucunun barındırdığı ve DKIM imzalama özelliğinin etkin olduğu bir etki alanında olması durumunda, sunucu imzalamayı From üst bilgisinin etki alanına göre yaptığı için bildirimi söz konusu etki alanının DKIM anahtarıyla imzalar ve böylece etki alanının DMARC politikasına uygun sahte e-postalar üretilir. Notify eylemi ve bu davranış 6.2.22 sürümünde getirilmiştir. Mail-rule motorunda da bir kuralın Reply işlemi, kural kime ait olursa olsun eylemin belirttiği adresten gönderiliyordu; böylece COM üzerinden kendi kuralları üzerinde işlem yapan bir hesap, bir etki alanı yöneticisi veya bir etki alanı ile sınırlandırılmış bir API anahtarı (6.3.4'ten itibaren REST API üzerinden), bir etki alanının veya hesabın kuralının, sunucunun barındırdığı ve DKIM imzalama özelliğinin etkin olduğu bir etki alanındaki herhangi bir adresten, o etki alanının anahtarıyla imzalanmış şekilde yanıt vermesini sağlayabiliyordu.