hMailServer : fichier CA non transmis au client MySQL/MariaDB

Veille sécuritéBackend & données

P3Élevée

Avec MySQL ou MariaDB, hMailServer 6.3.4 à 6.3.7 peut ne pas transmettre au client de base le fichier CA configuré lorsque son nom contient certains caractères non ASCII. La vérification TLS peut alors s’appuyer sur d’autres autorités de confiance que prévu, ce qui expose la connexion à une interception dans les conditions décrites par l’avis.

IdentifiantCVE-2026-126610

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126610

Analyse technique

Le nom du fichier CA n’est pas correctement transmis au client de base ; la vérification peut donc utiliser le magasin système ou les comportements particuliers du connecteur MariaDB. TlsMode=verify-full est requis ; le mode par défaut indiqué est prefer.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:12.830Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactUn attaquant en position d’intercepter la connexion à la base peut potentiellement lire ou modifier le trafic entre hMailServer et MySQL/MariaDB.

Versions affectéeshMailServer 6.3.4 à 6.3.7 avec MySQL ou MariaDB, TlsMode=verify-full et un nom de fichier TlsCaFile contenant les caractères concernés

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.4

EPSS0,17% · percentile 6,0%

Publication2026-11-11T09:17:12.830Z

Action recommandée

Mettre à jour hMailServer lorsqu’un correctif est disponible et vérifier que le nom du fichier CA ne déclenche pas le défaut ; ne pas considérer le journal comme preuve suffisante de validation du certificat.

Sources

NVD — CVE-2026-126610

Priorisation DFS : P3 · 1 source(s).