CVE-2026-104659

Progressive Robot hMailServer 6.0.0 ile 6.3.5 arasındaki sürümlerin REST API dinleyicisinde bulunan eksik Host başlığı doğrulaması ve başarısız yönetici oturum açma denemeleri için eksik hız sınırlaması, uzaktan bir saldırganın DNS rebinding yöntemiyle yöneticinin kendi tarayıcısı üzerinden sunucu yöneticisinin parolasını kaba kuvvetle (brute-force) ele geçirmesine olanak tanır. Varsayılan olarak kapalı olan ve etkinleştirildiğinde loopback adresine bağlanan dinleyici, Host başlığı ne olursa olsun isteklere yanıt vermekteydi ve loopback üzerinden yapılan başarısız yönetici parolası girişleri ne otomatik olarak yasaklanıyor ne de geciktiriliyordu. Saldırgan tarafından ana makine adı 127.0.0.1 olarak yeniden bağlanan ve sunucudaki bir tarayıcıda açılan bir web sayfası; böylece dinleyiciye kimliği doğrulanmış istekler gönderebilir, yanıtları okuyabilir ve biri kabul edilene kadar tam hızla yönetici parolalarını deneyebilir, bu da saldırgana posta sunucusunun tam yönetimsel kontrolünü sağlar.