CVE-2026-114470 Falsificación de petición en sitios (CSRF) en la API REST de hMailServer

Qué es CVE-2026-114470

La API REST de Progressive Robot hMailServer 6.0.0 a 6.3.6 acepta autenticación HTTP Basic y el navegador cachea la credencial tras responder el cuadro de inicio de sesión, enviándola en solicitudes posteriores al mismo origen, incluido un POST de formulario de nivel superior desde otro sitio; la protección CSRF cubría solo la sesión por cookie. Un atacante remoto puede hacer que el navegador de un usuario autenticado realice una solicitud que cambia estado.

Productos y versiones afectadas

• Progressive Robot Ltd hMailServer

  • desde 6.0.0 hasta 6.3.6

Qué hacer

1. Verificá si usás hMailServer y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Cross-site request forgery in the REST API of Progressive Robot hMailServer 6.0.0 through 6.3.6 allows a remote attacker to make an authenticated user's browser perform a state-changing request. The REST API accepts HTTP Basic authentication and answers a browser with a Basic sign-in box; a browser caches the credential once the box is answered and sends it with later requests to that origin, including a top-level form post from another site, and the server reads a request body whatever its declared content type. The cross-site protection covered only the cookie session (a header a cross-site form cannot set, and a SameSite=Strict cookie); HTTP Basic was not held to it. A page under an attacker's control, visited by a user whose browser holds a cached Basic credential for the REST API - typically an administrator who signed in through the box - could therefore cause a state-changing request such as creating a domain, an account or an API key, or changing a setting, with the victim's credential. The attacker cannot read the cross-origin response, so the forgery is blind.

Referencias

• gitlab.com/hmailserver/hmailserver/-/work_items/93
• gitlab.com/hmailserver/hmailserver/-/releases/v6.3.7

Historial de la alerta

1. 21 OCT · 14:46VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.