La couche base de données d’hMailServer 6.0.0-B1 à 6.2.18 construit certaines requêtes SQL sans lier correctement les paramètres sur MySQL/MariaDB. Un utilisateur authentifié pouvant envoyer du courrier, et dans certains scénarios un expéditeur distant non authentifié, peut modifier la requête exécutée par le compte de base de données du serveur.
Source : NVD — CVE-2026-126617
Analyse technique
Des valeurs sont substituées dans le texte SQL au lieu d’être liées comme paramètres ; une valeur peut déclencher une substitution ultérieure à l’intérieur d’un littéral. L’impact reste soumis aux privilèges du compte de base de données du serveur.
Impact, versions et correctif
Action recommandée
Mettre à jour hMailServer vers une version corrigée et limiter les privilèges du compte MySQL/MariaDB utilisé par le serveur.
Sources
Priorisation DFS : P3 · 1 source(s).