hMailServer : contournement possible des protections de connexion avec MySQL

Veille sécuritéBackend & données

P4Moyenne

hMailServer peut appliquer les protections de verrouillage ou de mise en attente au nom d’utilisateur fourni, mais authentifier ensuite un compte que la comparaison de la base MySQL considère équivalent sous une autre graphie. Cela peut permettre de contourner des seuils de tentatives ou d’accéder à un compte placé en attente, selon les conditions décrites dans l’avis.

IdentifiantCVE-2026-126615

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126615

Analyse technique

La décision de verrouillage et la recherche du compte utilisent des représentations différentes du nom. Les effets dépendent des règles de comparaison et de la configuration de la base ; certaines protections mentionnées ne sont pas activées par défaut.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:13.573Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactUn attaquant distant non authentifié peut, dans les conditions indiquées, poursuivre des essais de mots de passe au-delà du seuil ou accéder à un compte mis en attente avec son mot de passe.

Versions affectéeshMailServer 6.2.22-pre2 à 6.3.7 ; l’avis décrit notamment des correspondances de noms sur MySQL et MariaDB

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

EPSS0,27% · percentile 19,2%

Publication2026-11-11T09:17:13.573Z

Action recommandée

Mettre à jour hMailServer lorsqu’un correctif est disponible et examiner les règles de comparaison de noms de comptes de la base.

Sources

NVD — CVE-2026-126615

Priorisation DFS : P4 · 1 source(s).