CVE-2026-114489

Progressive Robot hMailServer 6.0.0 ile 6.3.6 arasındaki sürümlerin REST ve COM yönetim API'lerindeki yetkilendirme eksikliği, kimlik bilgileri belirli alan adlarıyla sınırlandırılmış uzak bir kimliği doğrulanmış kullanıcının, çok kiracılı (multi-tenant) bir sunucuda bu alan adlarının ötesinde posta yönlendirmesini ve alan adı yapılandırmasını değiştirmesine olanak tanır. Bir alan adı yöneticisi, belirli alan adlarındaki hesapları yöneten başka bir rol atanmış bir hesap veya API anahtarı ya da belirli alan adları için düzenlenmiş tam kapsamlı bir API anahtarı; herhangi bir isim için alan adı takma adı oluşturabilir (böylece diğer kiracıların o isimle gelen postaları saldırganın kontrol ettiği bir adrese yönlendirilir veya engellenir), bir alan adını sunucunun barındırmadığı herhangi bir isimle yeniden adlandırabilir, bir kuralın bind-to-address, send-using-route veya script-function eylemini sunucunun kendi adreslerinden birine, yapılandırılmış bir rotanın kayıtlı kimlik bilgilerine veya sunucunun olay betiğinin (event script) bir işlevine ulaşacak şekilde ayarlayabilir ve alan adının relay host ayarını (teslimat sırasında hiçbir adres kuralı olmadan bağlanan) sunucunun kendi ağındaki bir adrese ayarlayabilir; ayrıca COM API üzerinden herhangi bir hesap, teslimat sırasında script-function eyleminin çalıştığı kendi kuralları üzerindeki üç kural eylemini ayarlayabilir. Yetkilendirme kapısı, sınırlandırılmış bir kimlik bilgisine sahip kullanıcıya bu rotaları reddetmemiş ve işleyicilere çağrıyı yapan kişi bilgisi verilmemiştir; COM üzerinden alan adı takma adı kaydetme işlemi hiçbir yetkilendirme kontrolü gerçekleştirmemiş, alan adı yeniden adlandırma işlemi yalnızca bir alan adı yöneticisi gerektirmiş ve kural kaydetme işlemi en fazla çağrıyı yapan kişinin kural sahibini değiştirebilmesini gerektirmiştir.