CVE-2026-107583 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Ineffiziente algorithmische Komplexität im Nachrichtenansicht-Modul der REST-API des Webmail-Clients in Progressive Robot hMailServer 6.3.2 bis 6.3.5 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, das Webmail, die Administrationskonsole und die REST-API durch Versenden einer Nachricht unbrauchbar zu machen (Denial of Service). Die Route, die eine empfangene HTML-Nachricht rendert, ersetzt jede Referenz auf ein eingebettetes Bild direkt im Dokument. Der dafür erforderliche Rechenaufwand wächst quadratisch mit der Anzahl der Referenzen, und das Bild wird für jede Referenz ausgegeben, während es gegen seine Größenbeschränkung nur einmal angerechnet wird. Eine HTML-Nachricht, die eine kleine eingebettete Bilddatei in sehr großer Anzahl referenziert, hält einen der vier Worker-Threads des Listeners über Minuten hinweg beschäftigt und führt zur Erstellung eines Dokuments im Gigabyte-Bereich. Dadurch können bereits wenige solcher Nachrichten dazu führen, dass der HTTP-Listener keine Anfragen mehr beantworten kann.
If you want to get best quality of vulnerability data, you may have to visit VulDB.