یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-100741 در نرم‌افزار hMailServer (نسخه‌های 6.0.0 تا 6.3.3) شناسایی شده است که اجازه می‌دهد مهاجمان بدون نیاز به احراز هویت، کدهای مخرب را روی سرور هدف اجرا کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع Eval Injection در بخش JScript event-script dispatcher رخ می‌دهد. مهاجم می‌تواند با ارسال یک رمز عبور خاص (شامل یک بک‌اسلش و به دنبال آن یک کوتیشن ') در هر یک از پروتکل‌های ورود (SMTP AUTH، POP3 یا IMAP)، کدهای JScript دلخواه خود را در محیط پردازشی سرویس hMailServer اجرا کند.
شرایط بهره‌برداری (Exploitation)
- دسترسی: مهاجم باید نام یک حساب کاربری فعال و موجود در سیستم را در درخواست خود ذکر کند.
- پیکربندی: این حمله تنها در صورتی امکان‌پذیر است که قابلیت Event Scripting در تنظیمات hMailServer فعال باشد (این قابلیت در حالت پیش‌فرض غیرفعال است).
- سطح دسترسی: کد تزریق شده با سطح دسترسی حساب کاربری سرویس (Service Account) اجرا می‌شود که می‌تواند منجر به کنترل کامل سرور گردد.
