CVE-2026-40205 in Dovecot Pro
Tóm tắt
Bởi VulDB • 28/08/2026
Một kẻ tấn công sở hữu một mã thông báo OAuth2 chỉ cấp một phần các phạm vi (scopes) yêu cầu có thể xác thực, bởi vì khi nhiều hơn một scope được yêu cầu trong cấu hình, các đường dẫn xác thực mã thông báo từ xa chấp nhận một mã thông báo mang theo chỉ một trong số chúng, trong khi đường dẫn xác thực mã thông báo cục bộ yêu cầu đúng tất cả. Chính sách ủy quyền đã định cấu hình không được áp dụng nghiêm ngặt, do đó một mã thông báo chỉ được cấp một phần các quyền hạn cần thiết sẽ được chấp nhận thay vì bị từ chối như lẽ ra phải xảy ra. Hãy sử dụng cơ chế xác thực mã thông báo cục bộ nơi các mã thông báo có thể được xác minh tại chỗ. Cập nhật lên phiên bản không còn lỗ hổng. Không biết bất kỳ cuộc khai thác nào đã được công bố rộng rãi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.