← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités SmarterTools activement exploitées (KEV)

Les 3 vulnérabilités SmarterTools dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 3 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-24423 — SmarterTools SmarterMail : absence d'authentification pour une fonction critique Critique

Produit : SmarterTools SmarterMail
Ajoutée au catalogue : 5 février 2026
Échéance CISA : 26 février 2026
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-306
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : 88 %

SmarterTools SmarterMail contient une vulnérabilité d'absence d'authentification pour une fonction critique dans la méthode API ConnectToHub. Cela pourrait permettre à un attaquant de pointer l'instance SmarterMail vers un serveur HTTP malveillant qui sert la commande système malveillante et pourrait entraîner une exécution de commandes.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · smartertools.com · cve.org

Fiche détaillée : versions, références, chronologie →

CVE-2026-23760 — SmarterTools SmarterMail : contournement de l'authentification via un chemin ou un canal alternatif Critique

Produit : SmarterTools SmarterMail
Ajoutée au catalogue : 26 janvier 2026
Échéance CISA : 16 février 2026
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-288
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : 96 %

SmarterTools SmarterMail contient une vulnérabilité de contournement de l'authentification utilisant un chemin ou un canal alternatif dans l'api de réinitialisation de mot de passe. Le point de terminaison force-reset-password permet des requêtes anonymes et ne vérifie pas le mot de passe existant ou un jeton de réinitialisation lors de la réinitialisation des comptes administrateurs système. Cela pourrait permettre à un attaquant non authentifié de fournir un nom d'utilisateur administrateur cible et un nouveau mot de passe pour réinitialiser le compte, entraînant un compromis administratif complet de l'instance SmarterMail.

Références : NVD · CISA · smartertools.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-52691 — SmarterTools SmarterMail : téléversement de fichiers non restreint avec type dangereux Critique

Produit : SmarterTools SmarterMail
Ajoutée au catalogue : 26 janvier 2026
Échéance CISA : 16 février 2026
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-434
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 86 %

SmarterTools SmarterMail contient une vulnérabilité de téléversement de fichiers non restreint avec type dangereux qui pourrait permettre à un attaquant non authentifié de téléverser des fichiers arbitraires à n'importe quel emplacement sur le serveur de messagerie, permettant potentiellement une exécution de code à distance.

Références : NVD · CISA · smartertools.com · csa.gov.sg

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)