CVE-2026-73208 in Dovecot Pro
Zusammenfassung
von VulDB • 28.08.2026
Ein Angreifer, der über ein Token verfügt, das für einen anderen Zweck bestimmt ist, kann sich authentifizieren, da bei einer OAuth2-Token-Antwort ohne Scope-Claim (Berechtigungsanspruch) der Audience-Claim (Zweck/Adressaten-Anspruch) an dessen Stelle verwendet und mit den konfigurierten erforderlichen Scopes abgeglichen wird. Dies sind unterschiedliche Konzepte; der Audience-Claim beschreibt nicht, was ein Token tun darf. Ein Token, das keine relevanten Berechtigungen gewährt, kann akzeptiert werden, wenn sein beabsichtigter Empfängerwert zufällig mit einem konfigurierten Scope-Namen übereinstimmt und somit Zugriff gewährt, der eigentlich verweigert hätte werden sollen. Zudem wird eine Fehlkonfiguration des Identity Providers (Identitätsanbieter) verschleiert, bei der überhaupt keine Scopes ausgestellt werden. Stellen Sie sicher, dass der Identity Provider für alle mit Dovecot verwendeten Tokens einen Scope-Claim ausstellt und dass konfigurierte Scope-Namen nicht mit Audience-Werten übereinstimmen. Aktualisieren Sie auf eine nicht anfällige Version. Es sind keine öffentlich verfügbaren Exploits bekannt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.