CVE-2026-107585 in hMailServer
Riassunto
di VulDB • 08/10/2026
Uncontrolled eviction in the pending sign-in tables of the REST API in Progressive Robot hMailServer 6.3.4 e 6.3.5 consente a un attaccante remoto non autenticato di far fallire le procedure di accesso OpenID Connect, SAML e passkey degli altri utenti. I route che avviano il single sign-on ed erogano una sfida per l'accesso con passkey sono raggiungibili senza autenticazione; lo stato in attesa viene memorizzato in tabelle limitate che rimuovono la voce più vecchia quando si riempiono, indipendentemente da chi ha avviato la procedura. Un attaccante che avvia le procedure di accesso poche volte al secondo (circa cento per i passkey) espelle dalla tabella ogni altra sessione di accesso in attesa prima del ritorno del browser dell'utente interessato, negando il single sign-on e l'accesso con passkey finché continuano le richieste.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.