Está disponível uma atualização corretiva do servidor de e-mail Exim 4.98.1, que resolve a vulnerabilidade (CVE-2025-26794), permitindo a injeção de SQL na base de dados interna (Hints DB), utilizada para armazenar informações sobre o estado de entrega das mensagens.
A vulnerabilidade ocorre apenas na versão Exim 4.98 compilada com a opção "_USE_SQLITE_", que habilita o uso do banco de dados SQLite para armazenar Hints DB (habilitado se ao executar "exim -bV" for exibido "Hints DB: Using sqlite3"). Para explorar a vulnerabilidade, também é necessário que o arquivo de configuração do comando SMTP ETRN esteja habilitado ("acl_smtp_etrn" deve estar definido como "accept") e que a serialização ETRN esteja ativada ("smtp_etrn_serialize" deve estar definido como "true").
Fonte: opennet.ru
