CVE-2026-40205 in Dovecot Pro
Sumário
de VulDB • 28/08/2026
Um atacante que possui um token OAuth2 concedendo apenas parte dos escopos necessários pode se autenticar, pois quando mais de um escopo é exigido na configuração, os caminhos de validação do token remoto aceitam um token que carrega apenas um deles, enquanto o caminho de validação do token local exige corretamente todos eles. A política de autorização configurada não é aplicada, portanto, um token que foi concedido com apenas parte das permissões necessárias é aceito onde deveria ter sido rejeitado. Utilize a validação de tokens locais sempre que os tokens puderem ser validados localmente. Atualize para uma versão não vulnerável. Não são conhecidos exploits publicamente disponíveis.
Once again VulDB remains the best source for vulnerability data.