CVE-2026-107582

Progressive Robot hMailServer-in REST API (6.3.3-dən 6.3.5-ə qədər) və IMAP PREVIEW cavabında (6.2.22-dən 6.3.5-ə qədər) səmərəsiz alqoritmik mürəkkəblik, uzaqdakı autentifikasiya olunmamış hücumçunun mesaj göndərməklə veb-poçtu, administrasiya konsolunu və REST API-ni əlçatmaz etməsinə şərait yaradır. Qovluğun mesaj siyahısında hər bir mesajın fraqmentini göstərmək üçün server, yalnız HTML hissəsi olan və mətn hissəsi olmayan mesajın simvol referanslarını, iş yükü onların sayının kvadratı ilə artan sətir əvəzləməsi vasitəsilə dekodlaşdırırdı. Beləliklə, çox sayda referans ehtiva edən yalnız HTML formatlı daxil olan mesaj, mesaj açılmadan, alıcının veb-poçtu qovluğu siyahıladığı hər dəfə dinləyicinin dörd işçi axınından (worker thread) birini dəqiqələrlə və ya daha uzun müddət məşğul saxlayır ki, bu da bir neçə belə siyahılamanın HTTP dinləyicisini heç kimə cavab verə bilməz hala gətirməsinə səbəb olur. IMAP PREVIEW cavabı həmin mətni eyni şəkildə oxuyaraq, belə bir mesajın önizləməsini istəyən hər bir klient üçün IMAP axınını məşğul saxlayırdı. Çatışmazlıq serverin ortaq sətir sinfindədir (shared string class), hansı ki, onun həm replace, həm də remove funksiyaları kvadratik zamanda işləyirdi.