hMailServer: Cross-Site Scripting im Webmail über entschlüsselte Anhänge

Zusammenfassung

Das mitgelieferte Webmail von hMailServer 6.3.2 bis 6.3.5 kann vom Angreifer eingeschleuste Skripte im Ursprung des Webmails ausführen. Wenn das Webmail eine S/MIME- oder OpenPGP-Nachricht im Browser entschlüsselt, führt ein als text/html deklarierter Anhang sein Skript aus, sobald der Benutzer ihn in einem neuen Tab öffnet. Das Skript kann danach das Postfach lesen, E-Mails senden und das Konto über die REST API ändern. Das Webmail wird nur bereitgestellt, wenn die REST API aktiviert ist, was standardmässig nicht der Fall ist; der Angreifer muss eine verschlüsselte Nachricht senden und der Benutzer den Anhang in einem neuen Tab öffnen. Der CNA bewertet die Lücke mit CVSS 8.0 (High), VulDB mit 4.3 (Medium).

Betroffen

• hMailServer 6.3.2 bis 6.3.5 (S/MIME-Entschlüsselung ab 6.3.2, OpenPGP-Entschlüsselung ab 6.3.4)
• Nur Installationen mit aktivierter REST API und aktiviertem Webmail (RestApiPort ungleich 0); der Standard ist deaktiviert

Behoben in

• Upgrade auf hMailServer 6.3.6 (Korrektur des Herstellers)
• Das GitLab-Projekt des Herstellers auf die neueste Version prüfen

Umgehung

• REST API deaktiviert lassen (RestApiPort 0, der Standard), wodurch auch das Webmail deaktiviert ist
• Webmail-Benutzer anweisen, entschlüsselte Anhänge nicht in einem neuen Tab zu öffnen, und für verschlüsselte E-Mails einen Desktop-Mailclient verwenden

Ausnutzung

• Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt
• CISA SSVC: Ausnutzung keine, nicht automatisierbar
• Bei der letzten Prüfung nicht im CISA-KEV-Katalog aufgeführt

Unsere Empfehlung

• Mindestens auf 6.3.6 aktualisieren, besser auf die neueste Version aus dem GitLab-Projekt des Herstellers
• Prüfen, ob Webmail und REST API auf den hMailServer-Instanzen aktiviert sind
• Falls ja, das Update priorisieren und den Zugriff auf die REST API einschränken
• Webmail-Benutzer über das Risiko beim Öffnen entschlüsselter Anhänge in einem neuen Tab informieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• hMailServer 6.3.6 release (GitLab) gitlab.com
• Webmail decrypted attachment issue #52 (GitLab) gitlab.com
• OSV: CVE-2026-103647 osv.dev
• VulDB: CVE-2026-103647 vuldb.com
• OffSeq Radar: CVE-2026-103647 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:31.