CVE-2026-114471 Inserción de información sensible en archivos de registro en hMailServer

Qué es CVE-2026-114471

Con el registro SMTP habilitado, Progressive Robot hMailServer 6.0.0 a 6.3.6 ocultaba la credencial de AUTH PLAIN solo en una forma exacta posterior a EHLO y registraba el resto del intercambio SASL tal como lo enviaba el cliente, incluidos tokens OAuth 2.0, la prueba de cliente SCRAM-SHA-256 y el autenticador GSSAPI. Un usuario local que pueda leer el registro, o cualquiera con una copia, puede obtener credenciales. El registro SMTP está deshabilitado por defecto; en Windows anterior a 6.3.6 la carpeta de…

Productos y versiones afectadas

• Progressive Robot Ltd hMailServer

  • desde 6.0.0 hasta 6.3.6

Qué hacer

1. Verificá si usás hMailServer y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.7 MEDIA

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Insertion of sensitive information into a log file in the SMTP server of Progressive Robot hMailServer 6.0.0 through 6.3.6 allows a local user who can read the server's log, or anyone given a copy of it, to obtain credentials. With SMTP logging enabled, the server hid the credential of an AUTH PLAIN command only when it was sent after EHLO in one exact form, and wrote the rest of the SASL exchange as the client sent it: a PLAIN password sent before EHLO or with extra spacing, the OAuth 2.0 bearer token of AUTH XOAUTH2 and AUTH OAUTHBEARER (from 6.2.0), the SCRAM-SHA-256 client proof (from 6.2.0), which with the logged salt and iteration count allows offline password guessing, and the GSSAPI authenticator (from 6.3.2). SMTP logging is off by default; on Windows before 6.3.6 the log folder was readable by every local user.

Referencias

• gitlab.com/hmailserver/hmailserver/-/work_items/95
• gitlab.com/hmailserver/hmailserver/-/releases/v6.3.7

Historial de la alerta

1. 21 OCT · 14:46VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.