Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.3.2 tot en met 6.3.5
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de webmail van hMailServer zit een cross-site scripting-lek. De webmail ontsleutelt versleutelde berichten (S/MIME en OpenPGP) in de browser en biedt de bijlagen aan als tijdelijke link. Een aanvaller kan een bijlage maken die zich voordoet als html. Opent de gebruiker die in een nieuw tabblad, dan draait de code van de aanvaller binnen de webmail met de sessie van die gebruiker.
Wie loopt risico?
Je loopt risico als je hMailServer 6.3.2 tot en met 6.3.5 gebruikt en de webmail aan staat. De webmail wordt alleen aangeboden als de REST API is ingeschakeld, en dat is standaard niet zo. Een aanvaller moet je een versleuteld bericht kunnen sturen, en jij moet de bijlage zelf in een nieuw tabblad openen. Een klik die de bijlage alleen opslaat, is niet genoeg.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Controleer je versie en instellingen
Kijk of je hMailServer 6.3.2 tot en met 6.3.5 draait en of de REST API en de webmail zijn ingeschakeld.
Zet de REST API uit als je die niet nodig hebt
Zonder REST API wordt de webmail niet aangeboden. Zo beperk je de blootstelling.
Volg het advies van de leverancier
In de referenties staat een release v6.3.6 van hMailServer. Lees de releasenotes en controleer of dit lek daarin is opgelost voordat je bijwerkt.
Wees voorzichtig met bijlagen
Open ontsleutelde bijlagen in de webmail niet in een nieuw tabblad, maar sla ze op. Dat geldt vooral voor berichten van afzenders die je niet kent.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De webmail van hMailServer ontsleutelt S/MIME-berichten (vanaf 6.3.2) en OpenPGP-berichten (vanaf 6.3.4) in de browser. Elke ontsleutelde bijlage wordt aangeboden als blob-URL met het mediatype dat het bericht zelf opgeeft. Een onderdeel dat als text/html is gedeclareerd, wordt na openen in een nieuw tabblad weergegeven als document binnen de origin van de webmail. Het script kan daardoor via de REST API de mailbox lezen, e-mail versturen en het account wijzigen. De CVSS-vector (AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N) geeft aan dat gebruikersinteractie nodig is en dat de impact buiten het kwetsbare onderdeel reikt.
CVSS-vector (versie 3.1, basisscore 8,0, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N- Zwakheid (CWE)
- CWE-79 · Cross-site scripting (onvoldoende neutralisatie van invoer bij het opbouwen van webpagina's)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee