CVE-2026-73208 in Dovecot Pro
Sumário
de VulDB • 28/08/2026
Um atacante que possui um token destinado a uma finalidade diferente pode se autenticar porque, quando uma resposta de token OAuth2 não contém uma declaração de escopo (scope claim), a declaração de audiência (audience claim) é usada em seu lugar e verificada contra os escopos obrigatórios configurados. Esses são conceitos diferentes, e a declaração de audience não descreve o que um token tem permissão para fazer. Um token que concede nenhuma permissão relevante pode ser aceito porque seu valor de destinatário pretendido coincide acidentalmente com um nome de escopo configurado, concedendo acesso que deveria ter sido negado. Isso também oculta uma configuração incorreta do provedor de identidade onde os escopos não estão sendo emitidos em absoluto. Garanta que o provedor de identidade emita uma declaração de escopo para todos os tokens usados com o Dovecot e que os nomes dos escopos configurados não correspondam aos valores de audiência. Atualize para a versão não vulnerável. Não são conhecidos exploits publicamente disponíveis.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.