CVE-2026-8851
WysokieStreszczenie
Wersje SOGo 5.12.7 i wcześniejsze zawierają podatność na wstrzykiwanie SQL w funkcjonalności zarządzania listą kontroli dostępu. Umożliwia to uwierzytelnionym użytkownikom wydobycie dowolnych danych z bazy danych poprzez wstrzykiwanie podzapytań SQL przez parametr uid w punkcie końcowym addUserInAcls.
Ocena ryzyka
Atakujący mogą wstrzykiwać złośliwy kod SQL, co pozwala na wykradanie danych z bazy i ich zapis do tabeli sogo_acl, co stwarza ryzyko nieautoryzowanego dostępu do wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację SOGo do najnowszej wersji, aby usunąć tę podatność oraz przegląd zabezpieczeń aplikacji w celu zminimalizowania ryzyka wstrzykiwania SQL.
Oryginalny opis (angielski, źródło NVD)
SOGo versions 5.12.7 and prior contains a SQL injection vulnerability in the Access Control List management functionality that allows authenticated users to extract arbitrary data from the database by injecting SQL subqueries through the uid parameter of the addUserInAcls endpoint. Attackers can inject malicious SQL code to write extracted data into the sogo_acl table and retrieve it through the /acls API, establishing an out-of-band data exfiltration channel.