CVE-2026-23760

SmarterTools SmarterMail الإصدارات الأقدم من البيلد 9511

يحتوي SmarterTools SmarterMail على ثغرة أمنية تتعلق بتجاوز المصادقة في واجهة برمجة التطبيقات (API) الخاصة بإعادة تعيين كلمة المرور. تسمح نقطة النهاية force-reset-password بالطلبات المجهولة ولا تتحقق من كلمة المرور الحالية ولا من رمز إعادة التعيين عند إعادة تعيين حسابات مسؤولي النظام. يمكن لمهاجم غير مصدق عليه تقديم اسم مستخدم إداري مستهدف وكلمة مرور جديدة لإعادة تعيين الحساب، مما يؤدي إلى اختراق إداري كامل لمثيل SmarterMail. تتيح امتيازات المسؤول عن النظام في SmarterMail تنفيذ أوامر نظام التشغيل، مما قد يمنح وصولاً إدارياً إلى المضيف الأساسي. تم تحديد حوالي 6,000 مثيل معرض للإنترنت على أنه معرض للخطر بشكل محتمل، ولوحظ استغلال نشط في البيئة الفعلية، بما في ذلك من قبل مجموعة برامج الفدية Warlock. ولوحظ أن المهاجمين يستغلون هذه الثغرة الأمنية للحصول على وصول أولي، والتحرك أفقيًا عبر الشبكات، ونشر برامج الفدية. توجد الثغرة الأمنية في نقطة نهاية واجهة برمجة التطبيقات (API) /api/v1/auth/force-reset-password. المعلمة المعرضة للخطر هي IsSysAdmin، والتي، عند تعيينها على «true»، تسمح بإعادة تعيين كلمات مرور المسؤولين دون مصادقة.

قم بالتحديث إلى الإصدار 9511 أو أحدث على الفور.

قم بتقييد الوصول إلى واجهة برمجة التطبيقات (API) لنقطة النهاية `/api/v1/auth/force-reset-