در نسخه‌های 6.3.3 تا 6.3.7 نرم‌افزار hMailServer، یک نقص امنیتی در بخش Web Services Listener شناسایی شده است. این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا با سوءاستفاده از مکانیزم شمارش ورودهای ناموفق (failed sign-ins)، باعث مسدودسازی آدرس‌های IP پروکسی‌های مورد اعتماد (Trusted Proxies) شوند.
بر اساس تحلیل‌ها، شنونده سرویس‌های وب در این نسخه‌ها، هر تلاش ناموفق برای ورود از طریق پروتکل‌های CardDAV، CalDAV یا Autodiscover را که از طریق یک پروکسی مورد اعتماد (مانند پروکسی‌های موجود روی همان ماشین یا پروکسی‌های تعریف شده در تنظیمات WebServicesTrustedProxies) انجام شود، شمارش می‌کند. مشکل زمانی بروز می‌کند که این تلاش‌ها علیه آدرس خودِ پروکسی انجام شوند.
یک مهاجم از راه دور و بدون نیاز به احراز هویت (unauthenticated) که به پروکسی دسترسی دارد، می‌تواند با ارسال درخواست‌های ناموفق، باعث شود که سرور آدرس IP پروکسی را شناسایی کرده و آن را از لیست مجاز (Banned) خارج کند. این اقدام عملاً منجر به اختلال در دسترسی کاربران از طریق آن پروکسی می‌شود.
لازم به ذکر است که این قابلیت شنونده (Listener) به صورت پیش‌فرض غیرفعال است (زمانی که مقادیر WebServicesHttpPort و WebServicesHttpsPort برابر با 0 باشند)، اما در صورت فعال‌سازی، ریسک مذکور وجود دارد.
