CVE-2026-47082
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W cyrus-imapd do wersji 3.12.2 włącznie, funkcja wakacyjna 'fcc' pomija sprawdzanie listy kontroli dostępu (ACL) docelowej skrzynki pocztowej. Użytkownik, którego skrypt Sieve wakacji używa :fcc, może dostarczać kopie automatycznych odpowiedzi wakacyjnych do dowolnej skrzynki pocztowej, niezależnie od tego, czy ma uprawnienia do wstawiania w niej wiadomości.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego zapisywania wiadomości w dowolnych skrzynkach pocztowych, co może prowadzić do naruszenia poufności danych, przepełnienia skrzynek lub wykorzystania do ataków typu spam.
Rekomendacja
Należy natychmiast zaktualizować cyrus-imapd do wersji 3.12.3 lub nowszej, która zawiera poprawkę usuwającą to pominięcie kontroli ACL.
Inne podatności w Cyrus IMAP
Zobacz wszystkie- CVE-2015-8077Wysokie
Przepełnienie całkowite w funkcji index_urlfetch w pliku imap/index.c w Cyrus IMAP 2.3.19, 2.4.18 i 2.5.6 umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu poprzez wektory związane z kontrolami zakresu urlfetch oraz zmienną start_octet.
- CVE-2015-8076Wysokie
Funkcja index_urlfetch w Cyrus IMAP w wersjach 2.3.x przed 2.3.19, 2.4.x przed 2.4.18 oraz 2.5.x przed 2.5.4 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji lub potencjalnie wywołanie innych nieokreślonych skutków poprzez wektory związane z zakresem urlfetch, co prowadzi do odczytu pamięci poza przydzielonym obszarem.
- CVE-2017-14230Krytyczne
W funkcji mboxlist_do_find w Cyrus IMAP przed wersją 3.0.4 wystąpił błąd off-by-one w obliczaniu prefiksu dla polecenia LIST, co prowadziło do użycia niezainicjowanej pamięci. Może to umożliwić zdalnym atakującym uzyskanie wrażliwych informacji lub spowodować awarię demona.
- CVE-2026-47089Średnie
W cyrus-imapd do wersji 3.12.2 włącznie, komenda LISTRIGHTS nie była ograniczona do użytkowników z dostępem administracyjnym. Uwierzytelniony użytkownik mógł wywołać LISTRIGHTS dla dowolnej skrzynki pocztowej, której nazwę znał, i dowiedzieć się, jakie podmioty mają do niej dostęp.
- CVE-2026-47088Niskie
W cyrus-imapd do wersji 3.12.2 odkryto podatność polegającą na wycieku pamięci sterty podczas parsowania zagnieżdżonych komentarzy MIME. Uwierzytelniony użytkownik IMAP może wysłać wiadomość e-mail zawierającą komentarz RFC 822 zakończony backslashem, co powoduje odczyt poza końcem wiadomości i zwrócenie zawartości sterty.
- CVE-2026-47087Niskie
W cyrus-imapd do wersji 3.12.2 wykryto problem z mechanizmem URLAUTH, który nie respektuje cofnięcia dostępu autoryzatora. Adres URL URLAUTH utworzony, gdy autoryzator miał dostęp, działał nadal po cofnięciu tego dostępu.
- CVE-2026-47086Niskie
W cyrus-imapd do wersji 3.12.2 włącznie wykryto podatność, w której tokeny GENURLAUTH mogą omijać listy kontroli dostępu (ACL). Każdy uwierzytelniony użytkownik może wygenerować token URLAUTH dla dowolnej skrzynki pocztowej, nawet bez praw odczytu, co umożliwia odczyt wiadomości z niej.
- CVE-2026-47084Średnie
W cyrus-imapd do wersji 3.12.2 wykryto podatność, w której polecenie LOCALDELETE omijało sprawdzanie list kontroli dostępu (ACL). Uwierzytelniony, ale niebędący administratorem użytkownik mógł wywołać to polecenie zarezerwowane dla administratora i usuwać skrzynki pocztowe, do których nie miał uprawnień.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in cyrus-imapd in Cyrus IMAP through 3.12.2. The vacation "fcc" feature skips the destination-mailbox ACL. A user whose vacation Sieve script used :fcc (to save a copy of the sent message) could deliver vacation auto-reply copies into any mailbox the script could name, regardless of whether the script owner had insert permissions on the destination mailbox.