CVE-2026-108121

ŚrednieCVSS 6.9

Opublikowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Streszczenie

W funkcji tworzenia domen w SME Server w wersji 11.0rc1-215 wykryto podatność pozwalającą atakującemu z wysokimi uprawnieniami na wstrzyknięcie zarezerwowanych dyrektyw konfiguracji Apache. Powoduje to uszkodzenie pliku httpd.conf i uniemożliwia uruchomienie Apache po restarcie serwera, prowadząc do odmowy usługi (DoS) dla serwera WWW i hostowanych wirtualnych hostów.

Ocena ryzyka

Atakujący z wysokimi uprawnieniami może trwale uszkodzić konfigurację Apache, co po restarcie serwera spowoduje niedostępność wszystkich hostowanych witryn. Może to zakłócić działalność organizacji i wymagać ręcznej interwencji administracyjnej.

Rekomendacja

Ogranicz uprawnienia do tworzenia domen wyłącznie do zaufanych administratorów i wdróż poprawkę od producenta, gdy będzie dostępna. Regularnie twórz kopie zapasowe konfiguracji Apache, aby umożliwić szybkie przywrócenie usług.

Inne podatności w SME Server

CVE-2026-108120Wysokie
W funkcji View Logs serwera SME Server w wersji 11.0rc1-215 występuje podatność path traversal. Nieuwierzytelniony atakujący może uzyskać dostęp do plików spoza zamierzonego katalogu logów, co umożliwia eksfiltrację potencjalnie wrażliwych plików systemowych i aplikacji.

Oryginalny opis (angielski, źródło NVD)

Brian Mariani from DigitalCanion SA has discovered a vulnerability in the domain creation functionality of koozali's SME Server version 11.0rc1-215, allowing an attacker with high privileges to inject reserved Apache configuration directives, corrupting httpd.conf and preventing Apache from starting after a server reboot, resulting in a denial-of-service (DoS) condition affecting the web server and its hosted virtual hosts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS