« Volver al listado

CVE-2026-107582

Estado: AplazadaMedia (6.5)—

Una complejidad algorítmica ineficiente en la API REST (6.3.3 a 6.3.5) y en la respuesta IMAP PREVIEW (6.2.22 a 6.3.5) de Progressive Robot hMailServer permite a un atacante remoto no autenticado dejar no disponibles el webmail, la consola de administración y la API REST enviando un mensaje. Para mostrar un fragmento de cada mensaje en la lista de mensajes de una carpeta, el servidor decodificaba las referencias a entidades de caracteres de un mensaje que tiene una parte HTML y ninguna parte de texto con una sustitución de cadenas cuyo trabajo crecía con el cuadrado de su número.

Leer descripción completaMostrar menos

Por tanto, un mensaje recibido solo en HTML que contenga un número muy elevado de referencias a entidades mantiene ocupado uno de los cuatro hilos de trabajo del listener durante minutos o más cada vez que el webmail del destinatario lista la carpeta, sin que se abra el mensaje, de modo que unos pocos listados de este tipo dejan al listener HTTP sin poder responder a nadie. La respuesta IMAP PREVIEW leía dicho texto de la misma forma, ocupando un hilo IMAP por cada cliente que solicita la vista previa de un mensaje así. El fallo está en la clase de cadenas compartida del servidor, cuyas operaciones replace y remove se ejecutaban ambas en tiempo cuadrático.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

UI:R en vector CVSS requiere interacción del usuario (listar carpeta de mensajes). El atacante envía un mensaje HTML malformado que consume CPU de forma cuadrática al decodificar referencias de entidad, causando DoS del servidor de correo.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficApplication Isolation and SandboxingExploit ProtectionUpdate Software

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Hmailserver — HmailserverAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107582",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107582",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T14:18:32.670777Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "cve@gitlab.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "cve@gitlab.com",
      "affectedData": [
        {
          "repo": "https://gitlab.com/hmailserver/hmailserver",
          "vendor": "Progressive Robot Ltd",
          "product": "hMailServer",
          "versions": [
            {
              "status": "affected",
              "version": "6.2.22-pre1",
              "lessThan": "6.3.6",
              "versionType": "semver"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T12:17:16.480",
  "references": [
    {
      "url": "https://gitlab.com/hmailserver/hmailserver/-/releases/v6.3.6",
      "source": "cve@gitlab.com"
    },
    {
      "url": "https://gitlab.com/hmailserver/hmailserver/-/work_items/67",
      "source": "cve@gitlab.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "cve@gitlab.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-407"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Inefficient algorithmic complexity in the REST API (6.3.3 through 6.3.5) and the IMAP PREVIEW response (6.2.22 through 6.3.5) of Progressive Robot hMailServer allows a remote unauthenticated attacker to make the webmail, the administration console and the REST API unavailable by sending a message. To show a snippet of each message in a folder's message list, the server decoded the character entity references of a message that has an HTML part and no text part with a string replacement whose work grew with the square of their number. A received HTML-only message holding a very large number of entity references therefore keeps one of the listener's four worker threads busy for minutes or longer each time the recipient's webmail lists the folder, without the message being opened, so that a few such listings leave the HTTP listener unable to answer anybody. The IMAP PREVIEW response read such text the same way, holding an IMAP thread for each client that asks for the preview of such a message. The flaw is in the server's shared string class, whose replace and remove both ran in quadratic time."
    }
  ],
  "lastModified": "2026-10-08T21:02:43.860",
  "sourceIdentifier": "cve@gitlab.com"
}