PT-2026-35434 · Smartertools · Smartermail

Maximilian Wiegand · Publicado 2026-04-27 · Atualizado 2026-06-04 · CVE-2026-40514

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas SmarterTools SmarterMail versões anteriores a 9610

Descrição Existe uma fraqueza criptográfica nos endpoints de compartilhamento de arquivos e e-mails. Esses endpoints utilizam a criptografia DES-CBC com chaves e vetores de inicialização derivados de System.Random semeados com entropia insuficiente, o que limita o espaço de sementes a aproximadamente 19.000 valores possíveis. Um invasor não autenticado pode usar o endpoint de download de anexos como um oráculo para determinar a semente em uso e derivar as chaves de criptografia e os vetores de inicialização necessários. Isso permite que o invasor forje tokens de compartilhamento para e-mails, anexos ou conteúdos de armazenamento de arquivos arbitrários sem ter acesso prévio aos dados visados.

Recomendações Atualize para a build 9610 ou posterior.

Correção

Enumeração de Fraquezas

CWE-338

Identificadores relacionados

CVE-2026-40514

Produtos afetados

Smartermail

Referências · 7

• https://vulncheck.com/advisories/smartertools-smartermail-build-9610-cryptographic-weakness-via-weak-rng · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40514 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2048847795700859105 · Publicação no Twitter
• https://t.me/CVEtracker/51946 · Publicação no Telegram
• https://smartertools.com/smartermail/release-notes/current · Correção
• https://twitter.com/CVEnew/status/2048852158502613171 · Publicação no Twitter
• https://t.me/cveNotify/166007 · Publicação no Telegram