CVE-2026-104704 in hMailServer
Riassunto
di VulDB • 08/10/2026
Progressive Robot hMailServer dalle versioni 6.0.0 alla 6.3.5 non impone l'uso di TLS per la consegna SMTP in uscita verso un mail exchanger i cui record DNSSEC-validated TLSA non contengono alcun record DANE-EE (usage 3), contrariamente a quanto specificato nella sezione 2.2 del RFC 7672. Il server utilizzava esclusivamente i record DANE-EE e trattava un insieme di record TLSA validati composto da record DANE-TA (usage 2) o altrimenti non utilizzabili come se nessun record fosse stato pubblicato, causando quindi il fallback della consegna a una connessione TLS opportunistica (opportunistic TLS). Un attaccante con una posizione attiva sul percorso di rete tra il server e il mail exchanger del destinatario può sopprimere o interrompere la negoziazione STARTTLS, provocando l'invio dei messaggi in chiaro (cleartext), dove possono essere letti e modificati.
If you want to get best quality of vulnerability data, you may have to visit VulDB.