hMailServer : échec possible de l’auto-blocage avec MySQL/MariaDB

Veille sécuritéBackend & données

P4Moyenne

Dans hMailServer 6.2.0 à 6.3.3 avec MySQL ou MariaDB, certains noms d’utilisateur contenant des caractères hors du plan multilingue de base peuvent empêcher l’enregistrement d’une règle d’auto-blocage après des échecs d’authentification. L’adresse source n’est alors pas bannie et peut continuer les tentatives selon le mécanisme décrit.

IdentifiantCVE-2026-126616

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126616

Analyse technique

La chaîne utilisée pour nommer la plage d’auto-blocage peut contenir un caractère que le jeu de caractères MySQL indiqué ne peut stocker. Le seuil MaxInvalidLogonAttempts est de 3 par défaut ; les chemins d’authentification concernés varient selon la plateforme et les options activées.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:13.713Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactUn attaquant distant non authentifié peut poursuivre des essais de mots de passe depuis une adresse qui aurait dû être bannie.

Versions affectéeshMailServer 6.2.0 à 6.3.3 avec MySQL ou MariaDB

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

EPSS0,40% · percentile 34,8%

Publication2026-11-11T09:17:13.713Z

Action recommandée

Mettre à jour hMailServer lorsqu’un correctif est disponible et surveiller les échecs d’enregistrement de règles d’auto-blocage dans les journaux.

Sources

NVD — CVE-2026-126616

Priorisation DFS : P4 · 1 source(s).