CVE-2026-107572

Progressive Robot hMailServer 6.2.24-dən 6.3.5-ə qədər olan versiyalarda Sieve filtrinin qiymətləndirilməsindəki səmərəsiz mürəkkəblik, autentifikasiya olunmuş hesab sahibinə öz filtri vasitəsilə poçt xidmətlərini əlçatmaz etməyə imkan verir. ':matches' şablonu, vaxtı uyğunlaşdırılan dəyərin uzunluğunun wildcard-ların sayına yüksəldilməsi ilə artan geri izləməli eniş (backtracking descent) tərəfindən emal edilirdi, buna görə də 800 simvoldan çox olan '*a*a*a*b' kimi bir şablon 44 saniyə çəkirdi; 'deleteheader' isə sildiyi sahələri bir-bir silirdi, beləliklə mesajın başlığında eyni adlı çox sayda sahənin silinməsi O(N^2) xərc tələb edirdi (80,000 sahə 18.8 saniyə çəkdi). Sieve filtrləri kiçik və ortaq çatdırılma axınları hovuzunda (delivery thread pool) işləyir, buna görə də aktiv skripti bunu edən və özü göndərdiyi bir neçə mesaj alan hesab sahibi hovuzu boşaldır və bütün server üçün çatdırılmanı dayandırır. Skript hesab sahibinin özünə məxsusdur və digər istifadəçi üçün təyin edilə bilməz.