CVE-2026-107582 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Eine ineffiziente algorithmische Komplexität in der REST-API (Versionen 6.3.3 bis 6.3.5) und der IMAP-Vorschauantwort (IMAP PREVIEW response; Versionen 6.2.22 bis 6.3.5) von Progressive Robot hMailServer ermöglicht es einem entfernten, nicht authentifizierten Angreifer, den Webmail-Client, die Administrationskonsole und die REST-API durch das Senden einer Nachricht unbrauchbar zu machen (Denial of Service). Um einen Ausschnitt jeder Nachricht in der Nachrichtenliste eines Ordners anzuzeigen, decodiert der Server die Zeichenentitätsreferenzen (character entity references) einer Nachricht mit einem HTML-Teil und ohne Textteil mittels einer String-Ersetzung, deren Aufwand quadratisch mit der Anzahl dieser Referenzen wächst. Eine empfangene rein HTML-Nachricht, die eine sehr große Anzahl von Entitätsreferenzen enthält, belegt daher einen der vier Worker-Threads des Listeners für Minuten oder länger jedes Mal, wenn das Webmail des Empfängers den Ordner auflistet, ohne dass die Nachricht geöffnet wird; so können bereits einige solche Aufrufe dazu führen, dass der HTTP-Listener keine Anfragen mehr beantworten kann. Die IMAP-Vorschauantwort (IMAP PREVIEW response) liest solchen Text auf dieselbe Weise und belegt für jeden Client, der eine Vorschau einer solchen Nachricht anfordert, einen separaten IMAP-Thread. Der Fehler befindet sich in der gemeinsam genutzten String-Klasse des Servers, deren Methoden `replace` und `remove beide quadratische Laufzeit haben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.