hMailServer : chargement non sûr de plugins avec une base MySQL ou MariaDB

Veille sécuritéBackend & données

P3Élevée

hMailServer sous Windows peut charger une DLL malveillante depuis un chemin de plugins mal interprété lorsque son dossier d’installation contient certains caractères non ASCII et qu’il utilise MySQL ou MariaDB. Le défaut concerne hMailServer 6.2.3 à 6.3.7 ; la version corrective indiquée dans le candidat est 6.3.8.

IdentifiantCVE-2026-126607

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126607

Analyse technique

Le chemin du dossier des plugins transmis au connecteur MariaDB peut être interprété différemment selon la page de codes Windows, permettant le chargement d’une DLL placée dans le dossier ainsi désigné. La configuration concernée n’est pas celle par défaut ; les versions Linux ne sont pas affectées.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:11.410Z, dans la période demandée. La mise à jour administrative NVD du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement.

ImpactUn utilisateur local authentifié peut provoquer l’exécution de code dans le contexte du service hMailServer ; certains lancements de commandes d’administration peuvent également être concernés.

Versions affectéeshMailServer 6.2.3 à 6.3.7 sous Windows, dans la configuration MySQL ou MariaDB décrite par l’avis

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.8

EPSS0,17% · percentile 6,4%

Publication2026-11-11T09:17:11.410Z

Action recommandée

Mettre à jour hMailServer vers 6.3.8 ou une version ultérieure corrigée.

Sources

NVD — CVE-2026-126607

Priorisation DFS : P3 · 1 source(s).