CVE-2026-107585 in hMailServer
요약
\~에 의해 VulDB • 2026. 10. 08.
REST API의 대기 중인 로그인 테이블에서 제어되지 않은 evictions(만료/제거)로 인해 Progressive Robot hMailServer 6.3.4 및 6.3.5에서 원격 비인증 공격자가 다른 사용자의 OpenID Connect, SAML 및 패스키 로그인을 실패하게 할 수 있습니다. 단일 로그인(SSO)을 시작하고 패스키 로그인 도전을 제공하는 라우트는 인증 없이 접근 가능하며, 풀리면 가장 오래된 항목이 제거되는 제한된 테이블에 저장됩니다(누가 시작했든 상관없음). 공격자가 초당 몇 번(패스키의 경우 약 100회) 로그인을 시도하면, 해당 사용자의 브라우저 응답 전에 다른 모든 사용자의 대기 중인 로그인 요청을 테이블에서 밀어내므로, 요청이 계속되는 동안 SSO 및 패스키 로그인이 거부됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.