CVE-2026-107574

Progressive Robot hMailServer'ın JSON okuyucusundaki verimsiz algoritmik karmaşıklık, kimliği doğrulanmamış uzak bir saldırganın posta servislerini erişilemez hale getirmesine olanak tanır. Bir JSON nesnesini okurken, halihazırda okunmuş üyeler arasında arama yapılarak yinelenen her üye adının ilki tutulmaktaydı; bu nedenle N adet farklı üye adına sahip bir nesne O(N^2) maliyete yol açıyordu: Etkilenen kod üzerinde 1 MB'lık veri 8,9 saniye ve 4 MB'lık veri 300 saniye sürdü. Uzak bir saldırgan, barındurulan bir alan adının yayınlanmış rapor posta kutusuna özel olarak hazırlanmış bir TLS-RPT raporu (dekompresyon sonrası 16 MB'a kadar) göndererek hesap sahibi olmadan okuyucuya ulaşabilir; bu raporlar bir teslimat iş parçacığı üzerinden okunur. Bu tür birkaç rapor, tüm teslimat iş parçacıklarını (varsayılan olarak on adet) meşgul eder, böylece sunucu rapor başına bir saatten fazla süre boyunca yerel veya giden hiçbir postayı iletemez. Oturum açmış bir hesap, webmail'in kendi REST rotaları aracılığıyla aynı 16 MB gövdeye ulaşarak REST API'nin kendi işlemci iş parçacıklarını meşgul edebilir. Herhangi bir rapor posta kutusunun yapılandırılmadığı durumlarda, JSON gövdesini okuyan kimlik doğrulaması yapılmamış REST oturum açma rotaları 64 KB ile sınırlandırılmıştır ve etkilenmemektedir.