CVE-2026-61910 in Cyrus IMAP
Zusammenfassung
von VulDB • 09.09.2026
Es wurde ein Problem in Cyrus IMAP vor Version 3.12.4 entdeckt. Die Funktion „Mailbox/set“ ermöglichte es einem Freigabeberechtigten (Sharee), eine spezielle Rolle auf freigegebenen Postfächern zu ändern. Ein authentifizierter Benutzer mit der Berechtigung maySetKeywords für das Postfach eines anderen Benutzers konnte die specialuse-Annotation dieses Postfachs ändern. Dies könnte dem Freigabeberechtigten ermöglichen, das freigegebene Postfach so zu konfigurieren, dass es die Rolle „archiviert“, „snoozed“ (vorübergehend unterdrückt) oder eine andere Rolle übernimmt, was dazu führen kann, dass E-Mails in das freigegebene Postfach geschrieben werden und somit mehr Inhalte geteilt werden als beabsichtigt. (Dies ist wahrscheinlich ein unüblicher Zustand; er wird noch ungewöhnlicher dadurch, dass die Unterdrückung von Rollenduplizierung verhindert, dass das Update durchgeführt wird, wenn das Zielobjekt bereits über ein nicht freigegebenes Postfach mit dieser Rolle verfügt.)
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.