hMailServer : injection SQL dans la couche base de données avec MySQL/MariaDB

Veille sécuritéBackend & données

P3Élevée

La couche base de données d’hMailServer 6.0.0-B1 à 6.2.18 construit certaines requêtes SQL sans lier correctement les paramètres sur MySQL/MariaDB. Un utilisateur authentifié pouvant envoyer du courrier, et dans certains scénarios un expéditeur distant non authentifié, peut modifier la requête exécutée par le compte de base de données du serveur.

IdentifiantCVE-2026-126617

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126617

Analyse technique

Des valeurs sont substituées dans le texte SQL au lieu d’être liées comme paramètres ; une valeur peut déclencher une substitution ultérieure à l’intérieur d’un littéral. L’impact reste soumis aux privilèges du compte de base de données du serveur.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:13.860Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactUn attaquant peut altérer des instructions SQL exécutées avec les privilèges du compte de base de données hMailServer.

Versions affectéeshMailServer 6.0.0-B1 à 6.2.18 avec MySQL/MariaDB ou PostgreSQL ; périmètre MySQL/MariaDB retenu ici

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS0,41% · percentile 35,8%

Publication2026-11-11T09:17:13.860Z

Action recommandée

Mettre à jour hMailServer vers une version corrigée et limiter les privilèges du compte MySQL/MariaDB utilisé par le serveur.

Sources

NVD — CVE-2026-126617

Priorisation DFS : P3 · 1 source(s).