Analytical use of cookies
Критична вразливість виконання коду в hMailServer через Eval Injection у JScript
Вразливість CVE-2026-100741 в hMailServer дозволяє віддалене виконання коду через JScript Eval injection. Рекомендується оновлення та аудит безпеки.
- CVSS
- 9.8 CRITICAL
- EPSS
- 77.27%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
У hMailServer версій 6.0.0–6.3.3 на Windows виявлено критичну вразливість Eval injection у JScript event-script dispatcher, що дозволяє віддаленому неавторизованому зловмиснику виконувати довільний JScript з правами сервісного облікового запису. Для експлуатації потрібна нестандартна конфігурація з увімкненим event scripting на JScript і визначеними обробниками подій.
Бізнес-вплив
Ця вразливість може призвести до повного контролю над процесом hMailServer, що дозволяє виконувати довільні команди з правами сервісного облікового запису. Це створює серйозну загрозу для безпеки поштового сервера та всієї інфраструктури, особливо якщо сервер має доступ до критичних ресурсів. Вразливість не впливає на Linux-версії та VBScript-сценарії.
Рекомендовані дії адміністратора
Адміністраторам слід перевірити конфігурацію hMailServer на наявність увімкненого event scripting з JScript і визначених обробників OnClientValidatePassword, OnExternalAccountDownload або OnDeliveryFailed. Рекомендується оновити сервер до останньої версії, де ця вразливість усунена, або тимчасово вимкнути event scripting. Також слід обмежити мережевий доступ до сервера, переглянути журнали на ознаки експлуатації та провести аудит безпеки. DataHouse підтримує перевірку версій і допомогу в управлінні патчами для зниження ризиків.