CVE-2026-107574

Progressive Robot hMailServer-in JSON oxuyucusundakı səmərəsiz alqoritmik mürəkkəblik uzaqdakı autentifikasiya olunmamış hücumçuya poçt xidmətlərini əlçatmaz etməyə imkan verir. JSON obyektinin oxunması zamanı artıq oxunmuş üzvləri axtararaq təkrarlanan hər bir üzv adının birincisini saxladığı üçün, N sayda fərqli üzv adına malik obyekt O(N^2) resurs tələb edirdi: təsirə məruz qalan kodda 1 MB-lıq məlumatın emalı 8.9 saniyə, 4 MB-lıq məlumatın emalı isə 300 saniyə çəkmişdir. Uzaqdakı hücumçu, host edilən domeninin dərc edilmiş hesabat poçt qutusuna xüsusi hazırlanmış TLS-RPT hesabatını (sıxılmadan sonra 16 MB-a qədər) göndərməklə hesab olmadan oxuyucuya müraciət edir və bu, çatdırılma axınında (delivery thread) oxunur; bir neçə belə hesabat bütün çatdırılma axınlarını (defolt olaraq on dənə) məşğul edir, nəticədə server hər hesabat üçün bir saatdan çox müddət ərzində yerli və ya kənar heç bir poçtu çatdırmır. Daxil olmuş istifadəçi hesabı eyni 16 MB-lıq gövdəyə vebpoçtun öz REST marşrutları vasitəsilə müraciət edərək REST API-nin işçi axınlarını (worker threads) məşğul edə bilər. Hesabat poçt qutusu konfiqurasiya edilmədikdə, JSON gövdəsini oxuyan autentifikasiya olunmamış REST giriş marşrutları 64 KB ilə məhdudlaşdırılır və buna təsir etmir.