CVE-2026-104082
WysokieCVSS 7.2Streszczenie
SmarterMail przed buildem 9777 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującemu posiadającemu token dostępu o zakresie SysAdmin obejść kontrolę zawartości katalogu skryptów Volume Mount poprzez utworzenie nowej domeny pocztowej z dowolną ścieżką główną FileStore wewnątrz zaufanego katalogu Scripts za pomocą punktu końcowego domain-put. Atakujący mogą ujawnić ścieżkę Scripts przez punkt końcowy AddOrUpdateMount, wyczyścić czarną listę rozszerzeń przesyłania przez punkt końcowy global-mail, a następnie przesłać złośliwy skrypt przez zwykłe API przesyłania plików poczty, tak aby zapisanie CommandMount uruchomiło RunScript przed walidacją, co skutkuje odwrotną powłoką wykonującą się jako konto usługi SmarterMail z uprawnieniami na poziomie SYSTEM.
Ocena ryzyka
Atakujący z uprawnieniami SysAdmin może uzyskać zdalne wykonanie kodu z uprawnieniami SYSTEM, co prowadzi do pełnego przejęcia serwera pocztowego. Ryzyko jest krytyczne dla organizacji korzystających z SmarterMail.
Rekomendacja
Zaktualizuj SmarterMail do builda 9777 lub nowszego. Do czasu aktualizacji ogranicz uprawnienia SysAdmin i monitoruj nietypowe operacje na domenach i skryptach.
Inne podatności w SmarterMail
Zobacz wszystkie- CVE-2026-104084Wysokie
SmarterMail przed buildem 9777 zawiera podatność na eskalację uprawnień, w której tokeny dostępu i odświeżania JWT zawierają roszczenie roli osadzone w momencie wydania, które nie jest ponownie weryfikowane względem aktualnej roli konta przy użyciu przez POST /api/v1/auth/refresh-token. Atakujący, którzy przechwycą token odświeżania wydany przed degradacją administratora lub zdegradowany użytkownik, którego sesja nie była aktywnie odpytywana w momencie degradacji, mogą odtworzyć nieaktualny token, aby uzyskać nowy token dostępu zachowujący wyższą rolę uprawnień.
- CVE-2026-104083Średnie
SmarterMail przed buildem 9777 zawiera podatność Stored XSS typu mutation, która pozwala zdalnym atakującym wstrzyknąć wykonywalny skrypt, umieszczając ładunki wewnątrz elementu <style> zagnieżdżonego w obcej treści MathML (<math><mtext><mglyph>), który niestandardowy sanitizer HTML traktuje jako nieaktywny tekst CDATA, ale przeglądarki ponownie parsują jako aktywny znacznik. Atakujący mogą dostarczyć spreparowaną wiadomość kalendarza (iCal) zawierającą ładunek <img src=x onerror=...>, który wykonuje się automatycznie w sesji webmail odbiorcy pod /interface/message-iframe po otwarciu wiadomości, umożliwiając wykonanie skryptu i eksfiltrację danych bez ograniczeń zezwalającej Content-Security-Policy interfejsu.
- CVE-2026-23760KrytyczneAktywnie exploitowane
SmarterTools SmarterMail w wersjach przed build 9511 zawiera podatność polegającą na obejściu uwierzytelniania w API resetowania hasła. Endpoint force-reset-password pozwala na anonimowe żądania i nie weryfikuje istniejącego hasła ani tokena resetowania przy resetowaniu kont administratorów. Nieuwierzytelniony atakujący może zresetować konto administratora, co prowadzi do pełnej kompromitacji administracyjnej instancji SmarterMail. Uwaga: uprawnienia administratora systemu SmarterMail umożliwiają wykonywanie poleceń systemu operacyjnego, co daje dostęp administracyjny (SYSTEM lub root) do hosta.
Oryginalny opis (angielski, źródło NVD)
SmarterMail before build 9777 contains a remote code execution vulnerability that allows an attacker holding a SysAdmin-scoped access token to bypass the Volume Mount script-directory containment control by provisioning a new mail domain with an arbitrary FileStore root path inside the trusted Scripts directory via the domain-put endpoint. Attackers can disclose the Scripts path through the AddOrUpdateMount endpoint, clear the upload extension blacklist via the global-mail endpoint, then upload a malicious script through the ordinary mail file-storage upload API so that saving a CommandMount triggers RunScript before validation, resulting in a reverse shell executing as the SmarterMail service account with SYSTEM-level privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS