CVE-2026-40205 in Dovecot Pro
Zusammenfassung
von VulDB • 28.08.2026
Ein Angreifer, der über ein OAuth2-Token verfügt, das nur einen Teil der erforderlichen Scopes gewährt, kann sich authentifizieren, da die Remote-Tokenvalidierungspfade bei Konfiguration mehrerer erforderlicher Scopes ein Token akzeptieren, das lediglich eines dieser Scopes enthält, während der lokale Tokenvalidierungsweg korrekt alle von ihnen erfordert. Die konfigurierte Autorisierungsrichtlinie wird nicht durchgesetzt, sodass ein Token, dem nur ein Teil der erforderlichen Berechtigungen gewährt wurde, dort akzeptiert wird, wo es abgelehnt werden sollte. Verwenden Sie die lokale Tokenvalidierung für Tokens, die lokal validiert werden können. Aktualisieren Sie auf eine nicht anfällige Version. Es sind keine öffentlich verfügbaren Exploits bekannt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.