CVE-2026-107582

Progressive Robot hMailServer'ın REST API (6.3.3 ile 6.3.5 arası) ve IMAP PREVIEW yanıtındaki (6.2.22 ile 6.3.5 arası) verimsiz algoritmik karmaşıklık, kimliği doğrulanmamış uzak bir saldırganın bir mesaj göndererek webmail'in, yönetim konsolunun ve REST API'nin erişilemez hale getirilmesine olanak tanır. Bir klasörün mesaj listesinde her mesajın bir kesitini göstermek için sunucu, yalnızca HTML parçası içeren ve metin parçası bulunmayan bir mesajın karakter varlık referanslarını, işlem yükü sayıların karesiyle artan bir dize değiştirme işlemiyle çözümlüyordu. Bu nedenle, çok sayıda varlık referansı içeren alınan sadece HTML formatındaki bir mesaj, alıcının webmail'i klasörü her listelediğinde (mesaj açılmasa bile), dinleyicinin dört çalışan iş parçacığından birini dakikalarca veya daha uzun süre meşgul eder; böylece birkaç benzer listeleme, HTTP dinleyicisinin hiç kimseye yanıt verememesine neden olur. IMAP PREVIEW yanıtı da bu metni aynı şekilde okuyarak, böyle bir mesajın önizlemesini isteyen her istemci için bir IMAP iş parçacığını meşgul tutmaktadır. Hata, hem replace hem de remove fonksiyonları kuadratik zamanda çalışan sunucunun paylaşılan dize sınıfındadır.