- Yama var
- Son 7 gün
- CWE-862
CVE-2026-114477
hMailServer REST metrik rotasında yetki eksikliği nedeniyle sunucu geneli trafik geçmişi ifşa olabiliyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitLab
ÖzetTürkçe
Progressive Robot hMailServer 6.2.25 ile 6.3.6 arasındaki sürümlerde, REST metrik rotasında yetkilendirme eksikliği bulunmaktadır. Bu durum, kimliği belirli alan adlarıyla sınırlandırılmış uzaktan kimlik doğrulaması yapılmış bir kullanıcının sunucu genelindeki trafik geçmişini okumasına izin vermektedir. GET /api/v1/metrics/history isteği, sunucunun son 30 gündeki trafik sayaçlarını döndürmektedir; bu sayaçlar sunucu geneline aittir ve bir alan adıyla ilişkilendirilmemiştir. Rapor rotalarının aynı sayaçları alan adlarıyla sınırlı kimliklere zaten vermemesinin nedeni de budur. Ancak metrik rotası, sunucunun yetkilendirme kapısının sınırlı kimlikleri reddettiği rotalar arasında yer almamakta ve işleyicisine çağıranın kimliği iletilmemektedir. Bu nedenle, belirli alan adlarında yönetici olan bir alan yöneticisi, belirli alan adlarında view_configuration yetkisine sahip başka bir role atanmış kullanıcı (alan listesi verilmiş denetçi rolü dahil) veya belirli alan adları için verilmiş bir API anahtarı, yalnızca kendi alan adlarının değil, sunucunun tamamının trafik toplamlarını okuyabilmektedir. Açıklanan bilgi, herhangi bir ileti veya hesaba ait değil, toplu operasyonel sayaçlara ait verilerdir.
Kaynaktaki açıklama (İngilizce)
Missing authorization in the REST metrics route of Progressive Robot hMailServer 6.2.25 through 6.3.6 allows a remote authenticated user whose credential is confined to named domains to read the server-wide traffic history. GET /api/v1/metrics/history returns the server's traffic counters over the last 30 days; those counters are server-wide and carry no domain, which is why the report routes already refuse the same counters to a credential confined to named domains. The metrics route was not among the routes the server's authorization gate refuses a confined credential and its handler was not given the caller, so a domain administrator, an account given another role that holds view_configuration in named domains (the auditor role given a domain list among them), or an API key issued for named domains could read the whole server's traffic totals rather than its own domains'. The disclosure is of aggregate operational counters, not of any message or account.
Üreticinin çözüm notu (İngilizce)
Upgrade to hMailServer 6.3.7, whose authorization gate refuses the metric-history route to a credential confined to named domains, as the report's server-wide sections already were. Until then, on a multi-tenant server, do not give a domain-administrator credential, a role that may read configuration in named domains, or a named-domain API key that may read configuration to a party not trusted with the server-wide traffic figures, and keep the REST API off (RestApiPort=0, the default) where it is not needed.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progressive Robot Ltd hMailServer | ≥ 6.2.25, ≤ 6.3.6 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.