CVE-2026-107582 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 08.
Progressive Robot hMailServer의 REST API(6.3.3부터 6.3.5) 및 IMAP PREVIEW 응답(6.2.22부터 6.3.5)에서 비효율적인 알고리즘 복잡성으로 인해, 원격 미인증 공격자가 메시지를 전송하여 웹메일, 관리 콘솔 및 REST API를 사용할 수 없게 만들 수 있습니다. 폴더의 메시지 목록에 각 메시지의 일부를 표시하기 위해 서버는 HTML 부분이 있고 텍스트 부분이 없는 메시지의 문자 엔티티 참조(string entity references)를 처리할 때, 작업량이 그 개수의 제곱에 비례하여 증가하는 문자열 대체 연산을 수행했습니다. 따라서 매우 많은 수의 엔티티 참조를 포함하는 HTML 전용 메시지를 수신하면, 해당 메일함을 웹메일에서 목록으로 표시할 때마다(메시지를 열지 않아도) 리스너의 4개 워커 스레드 중 하나가 몇 분 이상 점유되어, 이러한 나열이 조금만 발생해도 HTTP 리스너가 모든 요청에 응답하지 못하게 됩니다. IMAP PREVIEW 응답도 동일한 방식으로 해당 텍스트를 처리하여, 이러한 메시지의 미리보기를 요청하는 각 클라이언트마다 하나의 IMAP 스레드를 점유합니다. 이 결함은 서버의 공유 문자열 클래스에 있으며, 여기서 replace 및 remove 연산 모두 2차 시간 복잡도를 가집니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.