CVE-2026-107577 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Eine ineffiziente algorithmische Komplexität und eine nicht endende Schleife in der MIME-Verarbeitung von empfangenen Nachrichten in Progressive Robot hMailServer 6.0.0 bis 6.3.5 ermöglichen es einem entfernten, nicht authentifizierten Angreifer, die E-Mail-Dienste durch das Senden einer Nachricht unbrauchbar zu machen. Das Entfernen eines MIME-Headerparameters mit leerem Wert, der direkt von einem Semikolon gefolgt wird (z.B. ein Content-Disposition mit 'filename=a.bat; filename=;'), führt in eine Endlosschleife, die einen Worker-Thread bis zur vollständigen Auslastung blockiert, bis der Server neu gestartet wird; dies tritt auf, wenn der Anhangsblocker einen blockierten Anhang umbenennt oder ein Dateiname über die REST-API festgelegt wird. Unabhängig davon führte das Dekodieren eines Headerfeldes mit vielen RFC 2047-codierten Wörtern einer anderen Codierung als Base64 oder Quoted-Printable, das Entfernen eines Parameters mit vielen RFC 2231-Kontinuationen und das Löschen vieler Headerfelder desselben Namens zu einer Zeit, die quadratisch mit der Nachrichtengröße wuchs; dies betraf insbesondere die kleinen Thread-Pools für IMAP-, SMTP- und POP3-Verbindungen sowie Zustellung und REST-API.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.