CVE-2026-114475

Progressive Robot hMailServer 6.3.4 ile 6.3.6 arasındaki sürümlerin REST rol yönetimi rotalarındaki yetkilendirme eksikliği, kimlik bilgileri belirli alan adlarıyla sınırlandırılmış uzaktan kimliği doğrulanmış bir kullanıcının, diğer alan adlarındaki hesapların sahip olduğu özel bir rolü değiştirmesine, yeni özel roller oluşturmasına ve hiçbir hesabın sahip olmadığı rolleri silmesine olanak tanır. Özel bir rolü oluşturan, güncelleyen ve silen rotalar yalnızca serveradmin rolünün sahip olduğu manage_roles iznini gerektirir; ancak belirli alan adları için düzenlenmiş tam kapsamlı bir API anahtarı ve bir alan adı listesi atanmış serveradmin, bu alanlarla sınırlandırılmış serveradmin olarak kabul edilir ve manage_roles iznine sahiptir. Sunucunun yetkilendirme mekanizması, sınırlandırılmış bir kimlik bilgisine ve "no domain" adlı rotaya yönelik üç rol rotasını reddetmediğinden, tek bir kiracıya verilmiş bir kimlik bilgisi, diğer kiracılar genelinde atanmış özel bir rolün izinlerini artırabilir veya azaltabilir; böylece başka bir alan adının rolüne posta kutuları ve ayarları üzerinde tüm izinleri verebilir veya gerekli izinleri kaldırabilir. Bir özel rol administer_server, administer_domain veya manage_roles izinlerine sahip olamayacağı için, sınırlandırılmış kimlik bilgisi özel bir rol oluşturarak veya yeniden yazarak kendisini veya bir başkasını sunucu yöneticisi yapamaz.