Se ha detectado una vulnerabilidad en hMailServer (versiones 6.0.0-B1 hasta 6.3.7) que afecta la funcionalidad de auto-ban. Debido a un error en cómo el servidor gestiona los nombres de los rangos de bloqueo en la base de datos, un atacante puede evitar ser baneado utilizando nombres de usuario extensos o caracteres especiales.
Esto permite que un actor remoto no autenticado realice ataques de fuerza bruta persistentes contra contraseñas a través de SMTP AUTH, IMAP, POP3 y otras APIs habilitadas, saltándose el límite de intentos fallidos. El impacto es crítico para la seguridad de las cuentas, aunque actualmente no se reportan hosts expuestos indexados en Shodan.
| CVE | CVE-2026-126618 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.3 / 10 |
| CWE | CWE-307 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).