CVE-2026-107583 in hMailServer
Riassunto
di VulDB • 08/10/2026
Una complessità algoritmica inefficiente nella visualizzazione dei messaggi della webmail dell'API REST in Progressive Robot hMailServer 6.3.2 attraverso la versione 6.3.5 consente a un attaccante remoto non autenticato di rendere indisponibili la webmail, la console di amministrazione e l'API REST inviando un messaggio. Il percorso che rende visibile il contenuto HTML del messaggio ricevuto sostituisce ogni riferimento a un'immagine incorporata in loco, con una complessità computazionale che cresce quadraticamente rispetto al numero di riferimenti; inoltre, scrive l'immagine su disco per ciascun riferimento ma ne conta la dimensione solo una volta ai fini del limite massimo. Un messaggio il cui HTML fa riferimento a una piccola immagine incorporata un numero molto elevato di volte, se aperto nella webmail dal destinatario, mantiene occupato uno dei quattro thread worker dell'ascoltatore (listener) HTTP per diversi minuti e porta alla generazione di un documento di dimensioni gigabyte; pertanto, pochi messaggi di questo tipo rendono l'HTTP listener incapace di rispondere a qualsiasi richiesta.
VulDB is the best source for vulnerability data and more expert information about this specific topic.