CVE-2026-104083
ŚrednieCVSS 6.1Streszczenie
SmarterMail przed buildem 9777 zawiera podatność Stored XSS typu mutation, która pozwala zdalnym atakującym wstrzyknąć wykonywalny skrypt, umieszczając ładunki wewnątrz elementu <style> zagnieżdżonego w obcej treści MathML (<math><mtext><mglyph>), który niestandardowy sanitizer HTML traktuje jako nieaktywny tekst CDATA, ale przeglądarki ponownie parsują jako aktywny znacznik. Atakujący mogą dostarczyć spreparowaną wiadomość kalendarza (iCal) zawierającą ładunek <img src=x onerror=...>, który wykonuje się automatycznie w sesji webmail odbiorcy pod /interface/message-iframe po otwarciu wiadomości, umożliwiając wykonanie skryptu i eksfiltrację danych bez ograniczeń zezwalającej Content-Security-Policy interfejsu.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w sesji webmail ofiary, prowadząc do kradzieży danych i przejęcia konta. Może to naruszyć poufność i integralność komunikacji.
Rekomendacja
Zaktualizuj SmarterMail do builda 9777 lub nowszego. W międzyczasie rozważ zaostrzenie polityki Content-Security-Policy i monitorowanie podejrzanych wiadomości.
Inne podatności w SmarterMail
Zobacz wszystkie- CVE-2026-104084Wysokie
SmarterMail przed buildem 9777 zawiera podatność na eskalację uprawnień, w której tokeny dostępu i odświeżania JWT zawierają roszczenie roli osadzone w momencie wydania, które nie jest ponownie weryfikowane względem aktualnej roli konta przy użyciu przez POST /api/v1/auth/refresh-token. Atakujący, którzy przechwycą token odświeżania wydany przed degradacją administratora lub zdegradowany użytkownik, którego sesja nie była aktywnie odpytywana w momencie degradacji, mogą odtworzyć nieaktualny token, aby uzyskać nowy token dostępu zachowujący wyższą rolę uprawnień.
- CVE-2026-104082Wysokie
SmarterMail przed buildem 9777 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującemu posiadającemu token dostępu o zakresie SysAdmin obejść kontrolę zawartości katalogu skryptów Volume Mount poprzez utworzenie nowej domeny pocztowej z dowolną ścieżką główną FileStore wewnątrz zaufanego katalogu Scripts za pomocą punktu końcowego domain-put. Atakujący mogą ujawnić ścieżkę Scripts przez punkt końcowy AddOrUpdateMount, wyczyścić czarną listę rozszerzeń przesyłania przez punkt końcowy global-mail, a następnie przesłać złośliwy skrypt przez zwykłe API przesyłania plików poczty, tak aby zapisanie CommandMount uruchomiło RunScript przed walidacją, co skutkuje odwrotną powłoką wykonującą się jako konto usługi SmarterMail z uprawnieniami na poziomie SYSTEM.
- CVE-2026-23760KrytyczneAktywnie exploitowane
SmarterTools SmarterMail w wersjach przed build 9511 zawiera podatność polegającą na obejściu uwierzytelniania w API resetowania hasła. Endpoint force-reset-password pozwala na anonimowe żądania i nie weryfikuje istniejącego hasła ani tokena resetowania przy resetowaniu kont administratorów. Nieuwierzytelniony atakujący może zresetować konto administratora, co prowadzi do pełnej kompromitacji administracyjnej instancji SmarterMail. Uwaga: uprawnienia administratora systemu SmarterMail umożliwiają wykonywanie poleceń systemu operacyjnego, co daje dostęp administracyjny (SYSTEM lub root) do hosta.
Oryginalny opis (angielski, źródło NVD)
SmarterMail before build 9777 contains a stored mutation cross-site scripting vulnerability that allows remote attackers to inject executable script by placing payloads inside a <style> element nested within MathML foreign content (<math><mtext><mglyph>), which the custom HTML sanitizer treats as inert CDATA text but browsers reparse as live markup. Attackers can deliver a crafted calendar (iCal) message containing an <img src=x onerror=...> payload that executes automatically in the recipient's webmail session at /interface/message-iframe when the message is opened, enabling script execution and data exfiltration unconstrained by the interface's permissive Content-Security-Policy.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS