Kerngegevens
- Leverancier
- Progress
- Product
- hMailServer
- Soort software
- bestandsoverdracht
- Getroffen versies
- hMailServer 6.0.0 t/m 6.3.5
- hMailServer Linux AppImage 6.3.0 t/m 6.3.5
- Oplossing
- Update beschikbaar
- Opgeloste versie
- hMailServer 6.3.6
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
De installatie van hMailServer stelt de rechten op de map met gegevens en op het configuratiebestand te ruim in. Daardoor kan elke gewone gebruiker op dezelfde computer deze bestanden lezen. Het gaat om opgeslagen e-mail, logbestanden, de ingebouwde database en het configuratiebestand met het databasewachtwoord.
Wie loopt risico?
Je loopt risico als je hMailServer 6.0.0 tot en met 6.3.5 gebruikt op een computer waarop ook andere mensen kunnen inloggen. Dat geldt ook voor de Linux AppImage van 6.3.0 tot en met 6.3.5. Een aanvaller moet eerst lokaal kunnen inloggen, dus de kans is kleiner op een server waar alleen beheerders komen. Gebruik je een externe database, dan kan het gelekte databasewachtwoord ook die database blootstellen.
Wat moet je doen?
Controleer je versie
Kijk na of je hMailServer gebruikt en welke versie dat is. Versies 6.0.0 tot en met 6.3.5 zijn getroffen, en de Linux AppImage van 6.3.0 tot en met 6.3.5.
Werk hMailServer bij
Installeer hMailServer 6.3.6. Die release staat vermeld op de projectpagina van hMailServer.
Beperk lokale toegang
Laat alleen vertrouwde mensen inloggen op de computer waarop hMailServer draait, zolang je nog niet bijgewerkt hebt.
Overweeg wachtwoorden te vernieuwen
Heeft een andere lokale gebruiker toegang gehad, bijvoorbeeld bij een externe database? Overweeg dan het databasewachtwoord en de wachtwoorden van de mailaccounts te wijzigen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De installer van hMailServer maakte de mappen voor gegevens, logs, tijdelijke bestanden, database en events aan met overgeërfde rechten van de installatiemap, standaard onder Program Files. Het configuratiebestand hMailServer.INI kreeg dezelfde rechten. Daardoor heeft de groep Users leestoegang. Een lokale gebruiker kan zo alle berichten, logs en de ingebouwde database met wachtwoordhashes lezen, die laatste wanneer de service gestopt is. Het databasewachtwoord in het INI-bestand is alleen afgeschermd met de DPAPI-sleutel van de machine, die elk lokaal account kan gebruiken om het te ontsleutelen. De Linux AppImage maakte de mappen per gebruiker aan met rechten die ook voor andere lokale gebruikers leesbaar waren.
CVSS-vector (versie 3.1, basisscore 7,8, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-276 · Onjuiste standaardrechten
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee