« Volver al listado

CVE-2026-107586

Estado: AplazadaMedia (4.3)—

La expulsión no controlada en la tabla de sesiones de navegador de la API REST en Progressive Robot hMailServer 6.2.28 hasta la 6.3.5 permite a un usuario remoto autenticado finalizar las sesiones de otros usuarios. La tabla de sesiones de navegador, compartida por todas las cuentas, el administrador del servidor y las sesiones de soporte, descartaba su sesión menos usada recientemente cada vez que se llenaba, fuera de quien fuera, y no establecía ningún límite al número de sesiones que podía tener una cuenta.

Leer descripción completaMostrar menos

Por tanto, un usuario que inicie sesión repetidamente con la contraseña de su propio buzón puede mantener la tabla llena y cerrar la sesión de todas las sesiones de webmail y administración que permanezcan inactivas más de un breve periodo, mientras siga haciéndolo.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en servicio remoto (REST API) que requiere autenticación previa (PR:L). Impacto: cierre forzado de sesiones de otros usuarios (T1531) y negación de servicio de disponibilidad de sesiones (T1499.004). CWE-770 (desalojo incontrolado).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningThreat Intelligence ProgramPrivileged Account ManagementNetwork SegmentationFilter Network TrafficDisable or Remove Feature or Program

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Hmailserver — HmailserverAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107586",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107586",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T19:12:40.221197Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "cve@gitlab.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 4.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "LOW",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "cve@gitlab.com",
      "affectedData": [
        {
          "repo": "https://gitlab.com/hmailserver/hmailserver",
          "vendor": "Progressive Robot Ltd",
          "product": "hMailServer",
          "versions": [
            {
              "status": "affected",
              "version": "6.2.28",
              "lessThan": "6.3.6",
              "versionType": "semver"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-08T15:17:44.897",
  "references": [
    {
      "url": "https://gitlab.com/hmailserver/hmailserver/-/releases/v6.3.6",
      "source": "cve@gitlab.com"
    },
    {
      "url": "https://gitlab.com/hmailserver/hmailserver/-/work_items/62",
      "source": "cve@gitlab.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "cve@gitlab.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-770"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Uncontrolled eviction in the browser session table of the REST API in Progressive Robot hMailServer 6.2.28 through 6.3.5 allows a remote authenticated user to end other users' sessions. The table of browser sessions, shared by every account, the server administrator and support sessions, dropped its least recently used session whenever it was full, whoever it belonged to, and placed no limit on how many sessions one account could hold. A user who repeatedly signs in with their own mailbox password can therefore keep the table full and sign out every webmail and administration session that is idle for more than a short time, for as long as they continue."
    }
  ],
  "lastModified": "2026-10-08T21:02:43.860",
  "sourceIdentifier": "cve@gitlab.com"
}