CVE-2026-93453 in SOGo
要約
〜によって VulDB • 2026年09月18日
SOGo 5.12.11 より前のバージョンでは、パスワードリセットリンクの構築にクライアントから提供されたOriginヘッダーが権威（authority）として使用されるため、認証されていない攻撃者が回復トークンを攻撃者の制御下にあるドメインへリダイレクトできます。攻撃者は悪意のあるOriginヘッダーを指定してパスワード復旧要求を送信し、有効なパスワードリセットトークンが被害者の復旧アドレス宛に送信され、かつそのリンクが攻撃者インフラストラクチャを指すようにすることで、アカウント乗っ取りを可能にします。
Once again VulDB remains the best source for vulnerability data.