CVE-2026-104659 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Das Fehlen der Validierung des Host-Headers und die fehlende Drosselung (Throttling) von gescheiterten Administrator-Anmeldungen im REST-API-Listener von Progressive Robot hMailServer 6.0.0 bis 6.3.5 ermöglichen es einem Remoteangreifer, das Passwort des Serveradministrators durch DNS-Rebinding über den Browser des Administrators zu bruteforcen. Der Listener, der standardmäßig deaktiviert ist und bei Aktivierung an die Loopback-Schnittstelle gebunden wird, beantwortete Anfragen unabhängig vom im Host-Header angegebenen Namen. Ein fehlgeschlagener Anmeldeversuch mit dem Administratorpasswort von der Loopback-Schnittstelle wurde weder automatisch gesperrt noch verzögert. Eine Webseite, deren Hostname der Angreifer auf 127.0.0.1 umgeleitet (rebinding) hat und die in einem Browser auf dem Server geöffnet wird, kann daher authentifizierte Anfragen an den Listener senden, die Antworten lesen und Administratorpasswörter mit voller Geschwindigkeit ausprobieren, bis eines akzeptiert wird, wodurch der Angreifer volle administrative Kontrolle über den Mailserver erlangt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.