CVE-2026-107587

Progressive Robot hMailServer 6.3.2-dən 6.3.5-ə qədər olan versiyaların veb-poçtunda sertifikatın yanlış təsdiqlənməsi, uzaqdakı autentifikasiya olunmamış hücumçuya S/MIME ilə şifrələnmiş poçtun daha sonra hesab tərəfindən digər korrespondenta göndərilərkən həmçinin hücumçunun açarı ilə şifrələnməsinə şərait yaradır. Alıcı imzalanmış mesajı açdıqda, veb-poçt server zəncirin etibarlı olduğunu tapıb-tapmamasından asılı olmayaraq, cavabları şifrələmək üçün imzalayan şəxsin sertifikatını saxlayırdı; bu proses mesajın From ünvanı əvəzinə sertifikatda qeyd olunan ilk e-poçt ünvanı altında və həmin ünvan üçün artıq mövcud olan hər hansı sertifikatla yanaşı həyata keçirilirdi. Daha sonra veb-poçtdan həmin ünvana göndərilən şifrələnmiş məktublar onun üçün saxlanılan hər bir sertifikatla şifrələnirdi, buna görə də saxlanılan sertifikat açarının sahibi belə bir mesajın surətini əldə etdikdə onu oxuya bilər.