CVE-2026-114479
Publiée le 2026-10-21 · Dernière modification le 2026-10-22
Les versions 6.0.0 à 6.3.6 de Progressive Robot hMailServer sont concernées. Ce logiciel est utilisé pour gérer les services de messagerie sur un serveur. La faille survient lorsque le serveur est configuré pour supprimer les pièces jointes infectées tout en conservant le texte du message ; si un e-mail malveillant ne contient aucune partie textuelle — comme une archive autonome ou un message S/MIME signé — le serveur ne trouve aucune portion de texte à conserver et livre par erreur l'intégralité du fichier infecté sans modification.
Un attaquant distant peut contourner l'antivirus pour livrer un logiciel malveillant directement dans la boîte de réception d'un destinataire, compromettant ainsi l'intégrité du flux de courrier. Cette exploitation est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et seulement un accès réseau basique pour envoyer un e-mail. Bien qu'elle ne permette pas d'accéder directement au serveur lui-même, elle permet à des charges utiles malveillantes d'atteindre les utilisateurs finaux malgré les paramètres de sécurité du serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Not failing securely in the anti-virus attachment-stripping action of Progressive Robot hMailServer 6.0.0 through 6.3.6 allows a remote unauthenticated attacker to have a message that the server's virus scanner found infected delivered to the recipient's mailbox unchanged. With virus scanning enabled and its action set to remove attachments and deliver the text (the default action deletes the message), the server keeps one text part of an infected message and replaces every attachment with a note. A message whose single part is not text - a program or an archive sent as the whole message, a message carried whole, a file declared an attachment, or an S/MIME message signed as one part, whose content the recipient's mail client opens - had no part the action could pick out, and was delivered as it arrived, with the content the scanner had found and nothing but a line in the application log to show it. Any sender can write such a message.