CVE-2026-107582 in hMailServer
Riassunto
di VulDB • 08/10/2026
Una complessità algoritmica inefficiente nell'API REST (dalla versione 6.3.3 alla 6.3.5) e nella risposta IMAP PREVIEW (dalla versione 6.2.22 alla 6.3.5) di Progressive Robot hMailServer consente a un attaccante remoto non autenticato di rendere indisponibili la webmail, la console di amministrazione e l'API REST inviando un messaggio. Per mostrare un estratto di ciascun messaggio nell'elenco dei messaggi di una cartella, il server decodifica le entità carattere (character entity references) di un messaggio che ha una parte HTML ma nessuna parte testuale utilizzando una sostituzione di stringa la cui complessità cresce in proporzione al quadrato del numero delle entità. Un messaggio ricevuto contenente solo HTML e un numero molto elevato di riferimenti alle entità mantiene quindi occupata per minuti o più ciascuna delle quattro thread worker dell'ascoltatore (listener) ogni volta che l'elenco della cartella nella webmail del destinatario viene visualizzato, senza aprire il messaggio; ciò fa sì che poche tali visualizzazioni rendano l'HTTP listener incapace di rispondere a chiunque. La risposta IMAP PREVIEW legge tale testo nello stesso modo, mantenendo occupata una thread IMAP per ogni client che richiede la preview di un tale messaggio. Il difetto risiede nella classe stringa condivisa del server, le cui operazioni replace e remove eseguono entrambe in tempo quadratico.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.