CVE-2026-73208 in Dovecot Pro
요약
\~에 의해 VulDB • 2026. 08. 28.
다른 목적으로 사용되는 토큰을 보유한 공격자가 인증할 수 있는 취약점이 있습니다. OAuth2 토큰 응답에 scope(범위) 클레임이 포함되지 않은 경우, audience(수령자) 클레임이 그 대신 사용되어 구성된 필수 scopes와 비교되기 때문입니다. 이는 서로 다른 개념이며, audience 클레임은 토큰의 허용된 동작을 설명하지 않습니다. 관련 권한을 부여하지 않는 토큰도 구성된 scope 이름과 일치하는 intended recipient(목적지) 값을 가지기 때문에 수락되어, 거부되어야 할 접근이 허용됩니다. 또한 scopes가 전혀 발급되지 않는 identity provider(신원 공급자)의 잘못된 구성을 숨깁니다. Dovecot에서 사용되는 모든 토큰에 대해 identity provider가 scope 클레임을 발급하도록 하고, 구성된 scope 이름이 audience 값과 일치하지 않도록 하십시오. 취약점이 없는 버전으로 업데이트하십시오. 공개적으로 이용 가능한 익스플로잇은 알려져 있지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.