CVE-2026-40205 in Dovecot Pro
Résumé
par VulDB • 28/08/2026
Un attaquant disposant d’un jeton OAuth2 n’accordant qu’une partie des étendues (scopes) requises peut s’authentifier, car lorsque plusieurs étendues sont exigées dans la configuration, les chemins de validation du jeton distant acceptent un jeton ne comportant qu’une seule d’entre elles, tandis que le chemin de validation local exige correctement l’ensemble des étendues. La politique d’autorisation configurée n’est pas appliquée ; ainsi, un jeton ayant reçu uniquement une partie des autorisations requises est accepté là où il aurait dû être rejeté. Utilisez la validation locale du jeton lorsque les jets peuvent être validés localement. Mettez à jour vers une version non vulnérable. Aucun exploit publiquement disponible n’est connu.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.