CVE-2026-46445
WysokieStreszczenie
SOGo w wersjach przed 5.12.7, przy użyciu PostgreSQL, umożliwia wstrzyknięcie SQL.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do danych w bazie danych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację SOGo do wersji 5.12.7 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w SOGo
Zobacz wszystkie- CVE-2026-46446Wysokie
SOGo w wersjach przed 5.12.7, przy użyciu PostgreSQL lub MariaDB oraz przechowywaniu haseł w postaci niezaszyfrowanej, umożliwia atak typu SQL injection. Problem dotyczy zmiennej c_password = '%@' w funkcji changePasswordForLogin.
- CVE-2015-5395Wysokie
W podatności CVE-2015-5395 występuje luka typu cross-site request forgery (CSRF) w SOGo przed wersją 3.1.0. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
- CVE-2026-39179Średnie
Podatność SQL injection w SOGo przed wersją 5.12.7 umożliwia uwierzytelnionym użytkownikom wykonanie dowolnych zapytań SQL poprzez parametr newPassword w funkcji zmiany hasła.
- CVE-2026-39178Średnie
Podatność SQL injection w SOGo przed wersją 5.12.7 umożliwia uwierzytelnionym użytkownikom wykonanie dowolnych zapytań SQL poprzez parametr search w endpointcie allContactSearch.
- CVE-2026-8851Wysokie
W systemie SOGo w wersjach do 5.12.7 występuje podatność na wstrzyknięcie SQL w funkcjonalności zarządzania listami kontroli dostępu (ACL). Uwierzytelniony użytkownik może wstrzyknąć złośliwe podzapytania SQL przez parametr uid w endpointcie addUserInAcls, co pozwala na ekstrakcję dowolnych danych z bazy danych. Atakujący może zapisać wydobyte dane do tabeli sogo_acl i odczytać je przez API /acls, tworząc kanał wycieku danych poza pasmem.
Oryginalny opis (angielski, źródło NVD)
SOGo before 5.12.7, when PostgreSQL is used, allows SQL injection.