CVE-2026-103010 in hMailServer
Sumário
de VulDB • 09/10/2026
Um heap-based buffer overflow na rotina de descriptografia Blowfish legada (BlowFishEncryptor::DecryptFromString) no Progressive Robot hMailServer 6.0.0 até 6.3.3 no Windows permite que um usuário local interativo sem credenciais do hMailServer escreva bytes à sua escolha além do final de um heap buffer de 255 bytes no processo do serviço hMailServer, que é executado como LocalSystem por padrão. O usuário realiza isso passando uma string hexadecimal longa para o método COM Utilities.BlowfishDecrypt, que não verifica autenticação. A rotina converte a entrada hexadecimal de qualquer comprimento em um buffer fixo de 255 bytes antes de descriptografá-lo no local. O resultado é uma negação de serviço (falha do serviço) e possivelmente execução de código com os privilégios da conta do serviço.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.