PT-2026-4520 · Smartertools · Smartermail
CVSS v3.1
10
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SmarterTools SmarterMail السابقة للإصدار 9511
الوصف
يحتوي SmarterTools SmarterMail على ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد دون مصادقة في طريقة API ConnectToHub. تسمح هذه الثغرة للمهاجمين بتوجيه خادم SmarterMail إلى خادم HTTP ضار، والذي يقوم بدوره بتوفير أمر ضار من نظام التشغيل يتم تنفيذه بواسطة التطبيق المعرض للخطر. هذه الثغرة، التي تم تتبعها تحت الرمز CVE-2026-24423، تحمل درجة CVSS تبلغ 9.3 ويتم استغلالها بشكل نشط من قبل جهات فاعلة في مجال برامج الفدية، بما في ذلك مجموعة Warlock المتخصصة في برامج الفدية. تؤثر هذه الثغرة الأمنية على الإصدارات السابقة للبناء 9511، وتسمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية دون مصادقة عبر نقطة نهاية واجهة برمجة التطبيقات
/api/v1/settings/sysadmin/connect-to-hub. اكتشفت WatchTowr Labs هذه الثغرة وتم إصلاحها في 15 يناير 2026. تشير التقارير إلى أن أكثر من 6,000 مثيل معرض للخطر على مستوى العالم. وقد لوحظ أن مجموعة برامج الفدية Warlock تستغل هذه الثغرة الأمنية، وقد أضافت وكالة الأمن السيبراني والبنية التحتية (CISA) هذه الثغرة إلى قائمة «الثغرات الأمنية المعروفة المستغلة»، وحددت موعدًا نهائيًا للإصلاح بحلول 26 فبراير 2026 للوكالات الفيدرالية. يُعرف المهاجمون بإنشاء وصول مسبق لعدة أيام قبل نشر برامج الفدية واستخدام أدوات مثل Velociraptor للتنقل الجانبي والتشفير.التوصيات
قم بتحديث SmarterMail إلى الإصدار 9511
إصلاح
RCE
DoS
Missing Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Smartermail