CVE-2026-114476

Progressive Robot hMailServer 6.3.4 ile 6.3.6 arasındaki sürümlerin REST yönetim API'sindeki hatalı yetkilendirme; adlandırılmış etki alanlarında manage_roles iznine sahip olan uzaktan kimliği doğrulanmış bir kullanıcının (bu etki alanları için düzenlenmiş tam kapsamlı bir API anahtarı veya belirli etki alanları listesiyle birlikte serveradmin rolü atanmış bir hesap), sunucu yöneticisi yetkilerini elde etmesine olanak tanır. Bir hesabın yönetici düzeyi ona yetki verir ve hesaba atanan bir rol bu yetkinin yerini alır; yönetici, yönetici düzeyi sunucu yöneticisi olan bir hesabın yetkilerini bu şekilde kısıtlar. Bir rolü kaldıran rota (DELETE /api/v1/role-assignments/{address}), yalnızca kimlik bilgilerinin hesabın o anki yetkilerine sahip olup olmadığını kontrol eder, işlem sonrası sahip olacağı yetkileri kontrol etmez. Bu nedenle, söz konusu kimlik bilgileri, kendi etki alanlarındaki yönetici düzeyi sunucu yöneticisi olan bir hesaptan kısıtlayıcı rolü kaldırarak hesabı tekrar sunucu yöneticisi yetkisine döndürebilir ve daha dar role sahipken o hesabın şifresini belirlemişse, sunucu yöneticisi olarak giriş yapabilir.