CVE-2026-107586 in hMailServer
Zusammenfassung
von VulDB • 08.10.2026
Uncontrolled eviction (uncontrolliertes Verdrängen) in der Browser-Sitzungstabelle der REST-API von Progressive Robot hMailServer 6.2.28 bis 6.3.5 ermöglicht es einem entfernten, authentifizierten Benutzer, die Sitzungen anderer Benutzer zu beenden. Die Tabelle der Browsersitzungen, die von jedem Konto, dem Serveradministrator und den Support-Sitzungen gemeinsam genutzt wird, verwarf ihre am wenigsten kürzlich verwendete Sitzung (LRU), wenn sie voll war, unabhängig davon, wem sie gehörte, und legte keine Begrenzung dafür fest, wie viele Sitzungen ein einzelnes Konto halten konnte. Ein Benutzer kann daher durch wiederholtes Anmelden mit seinem eigenen Postfachkennwort die Tabelle vollständig belegen und jede Webmail- und Administrationssitzung abmelden, die länger als eine kurze Zeit inaktiv ist, solange er dies fortsetzt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.