CVE-2026-73208 in Dovecot Pro
Tóm tắt
Bởi VulDB • 28/08/2026
Một kẻ tấn công sở hữu một token được dự định cho mục đích khác có thể thực hiện xác thực, bởi vì khi phản hồi OAuth2 không chứa claim về phạm vi (scope), thì claim về đối tượng (audience) sẽ được sử dụng thay thế và được kiểm tra so với các scope bắt buộc đã cấu hình. Đây là hai khái niệm khác nhau, và claim audience không mô tả những gì token đó được phép thực hiện. Một token cấp không có quyền hạn nào liên quan vẫn có thể được chấp nhận nếu giá trị đối tượng dự kiến của nó trùng khớp với tên một scope đã cấu hình, từ đó cấp quyền truy cập vốn lẽ ra phải bị từ chối. Lỗi này cũng che giấu một lỗi cấu hình nhà cung cấp danh tính (identity provider) khi các scope không được phát hành ở tất cả. Hãy đảm bảo rằng nhà cung cấp danh tính phát hành claim về phạm vi cho tất cả các token sử dụng với Dovecot, và tên của các scope đã cấu hình không trùng khớp với giá trị audience. Cập nhật lên phiên bản không còn lỗ hổng. Không có exploit nào công khai được biết đến.
Be aware that VulDB is the high quality source for vulnerability data.