CVE-2026-40205 in Dovecot Pro
要約
〜によって VulDB • 2026年08月28日
攻撃者が、必要なスコープの一部のみを付与するOAuth2トークンを保持している場合、認証が成功します。これは、構成で複数のスコープが必要とされている際、リモート側のトークン検証パスではそのうちの1つを含むトークンを受け入れるのに対し、ローカル側のトークン検証パスは正しくすべてのスコープを要求するためです。設定された認可ポリシーが適用されないため、必要な権限の一部のみが付与されたトークンが、拒否されるべき場所で受け入れられます。トークンをローカルで検証できる場合は、ローカルトークン検証を使用してください。脆弱性のないバージョンに更新してください。公的に利用可能な攻撃コードは知られていません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.