CVE-2026-104084
WysokieCVSS 8.8Streszczenie
SmarterMail przed buildem 9777 zawiera podatność na eskalację uprawnień, w której tokeny dostępu i odświeżania JWT zawierają roszczenie roli osadzone w momencie wydania, które nie jest ponownie weryfikowane względem aktualnej roli konta przy użyciu przez POST /api/v1/auth/refresh-token. Atakujący, którzy przechwycą token odświeżania wydany przed degradacją administratora lub zdegradowany użytkownik, którego sesja nie była aktywnie odpytywana w momencie degradacji, mogą odtworzyć nieaktualny token, aby uzyskać nowy token dostępu zachowujący wyższą rolę uprawnień.
Ocena ryzyka
Atakujący może uzyskać dostęp z uprawnieniami DomainAdmin lub SysAdmin do czasu naturalnego wygaśnięcia tokenu, co może prowadzić do nieautoryzowanych działań administracyjnych. Ryzyko dotyczy organizacji korzystających z SmarterMail z delegowanymi rolami.
Rekomendacja
Zaktualizuj SmarterMail do builda 9777 lub nowszego. Do czasu aktualizacji unieważniaj wszystkie aktywne tokeny odświeżania po zmianie roli użytkownika.
Inne podatności w SmarterMail
Zobacz wszystkie- CVE-2026-104083Średnie
SmarterMail przed buildem 9777 zawiera podatność Stored XSS typu mutation, która pozwala zdalnym atakującym wstrzyknąć wykonywalny skrypt, umieszczając ładunki wewnątrz elementu <style> zagnieżdżonego w obcej treści MathML (<math><mtext><mglyph>), który niestandardowy sanitizer HTML traktuje jako nieaktywny tekst CDATA, ale przeglądarki ponownie parsują jako aktywny znacznik. Atakujący mogą dostarczyć spreparowaną wiadomość kalendarza (iCal) zawierającą ładunek <img src=x onerror=...>, który wykonuje się automatycznie w sesji webmail odbiorcy pod /interface/message-iframe po otwarciu wiadomości, umożliwiając wykonanie skryptu i eksfiltrację danych bez ograniczeń zezwalającej Content-Security-Policy interfejsu.
- CVE-2026-104082Wysokie
SmarterMail przed buildem 9777 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującemu posiadającemu token dostępu o zakresie SysAdmin obejść kontrolę zawartości katalogu skryptów Volume Mount poprzez utworzenie nowej domeny pocztowej z dowolną ścieżką główną FileStore wewnątrz zaufanego katalogu Scripts za pomocą punktu końcowego domain-put. Atakujący mogą ujawnić ścieżkę Scripts przez punkt końcowy AddOrUpdateMount, wyczyścić czarną listę rozszerzeń przesyłania przez punkt końcowy global-mail, a następnie przesłać złośliwy skrypt przez zwykłe API przesyłania plików poczty, tak aby zapisanie CommandMount uruchomiło RunScript przed walidacją, co skutkuje odwrotną powłoką wykonującą się jako konto usługi SmarterMail z uprawnieniami na poziomie SYSTEM.
- CVE-2026-23760KrytyczneAktywnie exploitowane
SmarterTools SmarterMail w wersjach przed build 9511 zawiera podatność polegającą na obejściu uwierzytelniania w API resetowania hasła. Endpoint force-reset-password pozwala na anonimowe żądania i nie weryfikuje istniejącego hasła ani tokena resetowania przy resetowaniu kont administratorów. Nieuwierzytelniony atakujący może zresetować konto administratora, co prowadzi do pełnej kompromitacji administracyjnej instancji SmarterMail. Uwaga: uprawnienia administratora systemu SmarterMail umożliwiają wykonywanie poleceń systemu operacyjnego, co daje dostęp administracyjny (SYSTEM lub root) do hosta.
Oryginalny opis (angielski, źródło NVD)
SmarterMail before build 9777 contains a privilege escalation vulnerability where JWT access and refresh tokens embed a role claim at issuance that is not revalidated against the account's current role when redeemed through POST /api/v1/auth/refresh-token. Attackers who capture a refresh token issued before an administrator demotion, or a demoted user whose session was not actively polling at the time of demotion, can replay the stale token to obtain a new access token retaining the higher-privilege role (such as DomainAdmin or SysAdmin) until natural token expiry.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS