courier-imap bug?

Érdekes szitura hivta fel a figyelmem az egyik user:
Roundcube webmailről adott mail cimmel de nem adott jelszóval is be lehet jelentkezni (háttérben courier-imaphoz kapcsolódva)!
És valóban. Teszt jelszó "jelszo55" volt, de beengedett jelszo555, jelszo556-tal. Saját admin accomnál jelszavam mögé irt gggg betükkel szintén.

Több szervernél (debian 4.0, hardened gentoo) is reprodukálható a jelenség.
Jelszavak mysqlben cryptolva vannak tárolva. Ebből adódik a jelenség vagy bug vagy mi lehet ?

Nem minden jelszónál tapasztaltam, de a fentivel pl. kapásból.

(postfix+courier+roundcube a trio, de gondolom a két szélső nem sokvizet zavar)