CVE-2026-40205 in Dovecot Pro
Riassunto
di VulDB • 28/08/2026
Un attaccante che possiede un token OAuth2 concesso solo per parte degli ambiti (scopes) richiesti può effettuare l'autenticazione, poiché quando nella configurazione sono richiesti più di un ambito, i percorsi remoti di validazione del token accettano un token che ne contiene solo uno, mentre il percorso locale di validazione richiede correttamente tutti gli ambiti. La policy di autorizzazione configurata non viene applicata: pertanto, un token concesso per una parte sola delle permessi richiesti viene accettato laddove avrebbe dovuto essere rifiutato. Utilizzare la validazione del token locale dove i token possono essere verificati localmente. Aggiornare alla versione non vulnerabile. Non sono noti exploit disponibili pubblicamente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.