SmarterTools SmarterMail versions prior to build 9511 contain an authentication bypass vulnerability in the password reset API. The force-reset-password endpoint permits anonymous requests and fails to verify the existing password or a reset token when resetting system administrator accounts. An unauthenticated attacker can supply a target administrator username and a new password to reset the account, resulting in full administrative compromise of the SmarterMail instance. NOTE: SmarterMail system administrator privileges grant the ability to execute operating system commands via built-in management functionality, effectively providing administrative (SYSTEM or root) access on the underlying host.
CVE-2026-23760 viene sfruttato?
Inserito nel catalogo CISA KEV il 2026-01-26.
Scadenza di remediation federale: 2026-02-16.
Oltre quella data da 180 giorni.
Usato in campagne ransomware.
EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 96%.
Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.
Esistono regole di detection pubbliche.
Quali prodotti e versioni sono interessati?
Nessun elenco di pacchetti interessati registrato qui.