hMailServer : validation TLS insuffisante sur connexions locales à MySQL/MariaDB

Veille sécuritéBackend & données

P3Élevée

Avec MySQL ou MariaDB et TlsMode=verify-full sans fichier TlsCaFile, hMailServer peut ne pas vérifier l’émetteur ni le nom du certificat sur des connexions que MariaDB Connector/C traite comme locales. Un attaquant local capable de se faire passer pour le serveur de base peut alors recevoir les identifiants et intercepter ou modifier le trafic.

IdentifiantCVE-2026-126611

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126611

Analyse technique

L’avis indique que le défaut concerne MariaDB Connector/C 3.4.1 et versions ultérieures, non Oracle MySQL Client ni Connector/C 3.3 et 3.4.0. La configuration concernée n’est pas celle par défaut : TlsMode est par défaut prefer.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:12.973Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactUn attaquant local pouvant usurper le serveur de base peut récupérer les identifiants de connexion et lire ou modifier le trafic.

Versions affectéeshMailServer 6.3.4 à 6.3.7 avec MySQL ou MariaDB, TlsMode=verify-full, sans TlsCaFile, et connexion classée locale par MariaDB Connector/C

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7

EPSS0,08% · percentile 0,2%

Publication2026-11-11T09:17:12.973Z

Action recommandée

Mettre à jour hMailServer lorsqu’un correctif est disponible et éviter les connexions locales sans fichier CA explicite en mode verify-full.

Sources

NVD — CVE-2026-126611

Priorisation DFS : P3 · 1 source(s).