hMailServer : contournement de l’auto-blocage avec MySQL/MariaDB

Veille sécuritéBackend & données

P4Moyenne

Une erreur dans la génération et la sauvegarde des noms de règles d’auto-blocage d’hMailServer 6.0.0-B1 à 6.3.7 peut faire échouer de nouveaux bannissements, notamment avec des noms d’utilisateur longs ou contenant certains caractères. Avec MySQL/MariaDB, les échecs concernés peuvent laisser l’adresse source libre de poursuivre des tentatives de connexion.

IdentifiantCVE-2026-126618

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126618

Analyse technique

Le nom candidat est vérifié avant d’être tronqué à la longueur de la colonne ; plusieurs noms distincts peuvent donc devenir identiques après troncature. Les seuils et longueurs indiqués dépendent des noms et du moteur de base.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:14.000Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactUn attaquant distant pouvant utiliser plusieurs adresses peut continuer à deviner des mots de passe sans être bloqué dans les conditions décrites.

Versions affectéeshMailServer 6.0.0-B1 à 6.3.7 ; l’avis décrit des cas touchant MySQL/MariaDB

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

EPSS0,43% · percentile 38,0%

Publication2026-11-11T09:17:14.000Z

Action recommandée

Mettre à jour hMailServer lorsqu’un correctif est disponible et examiner les journaux pour repérer les échecs d’enregistrement des règles d’auto-blocage.

Sources

NVD — CVE-2026-126618

Priorisation DFS : P4 · 1 source(s).