Podatności SOGo
6 znanych podatności CVE w SOGo, przetłumaczonych i ocenionych.
- CVE-2026-46446Wysokie
SOGo w wersjach przed 5.12.7, przy użyciu PostgreSQL lub MariaDB oraz przechowywaniu haseł w postaci niezaszyfrowanej, umożliwia atak typu SQL injection. Problem dotyczy zmiennej c_password = '%@' w funkcji changePasswordForLogin.
- CVE-2026-46445Wysokie
SOGo w wersjach przed 5.12.7, przy użyciu PostgreSQL, umożliwia wstrzyknięcie SQL.
- CVE-2015-5395Wysokie
W podatności CVE-2015-5395 występuje luka typu cross-site request forgery (CSRF) w SOGo przed wersją 3.1.0. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
- CVE-2026-39179Średnie
Podatność SQL injection w SOGo przed wersją 5.12.7 umożliwia uwierzytelnionym użytkownikom wykonanie dowolnych zapytań SQL poprzez parametr newPassword w funkcji zmiany hasła.
- CVE-2026-39178Średnie
Podatność SQL injection w SOGo przed wersją 5.12.7 umożliwia uwierzytelnionym użytkownikom wykonanie dowolnych zapytań SQL poprzez parametr search w endpointcie allContactSearch.
- CVE-2026-8851Wysokie
W systemie SOGo w wersjach do 5.12.7 występuje podatność na wstrzyknięcie SQL w funkcjonalności zarządzania listami kontroli dostępu (ACL). Uwierzytelniony użytkownik może wstrzyknąć złośliwe podzapytania SQL przez parametr uid w endpointcie addUserInAcls, co pozwala na ekstrakcję dowolnych danych z bazy danych. Atakujący może zapisać wydobyte dane do tabeli sogo_acl i odczytać je przez API /acls, tworząc kanał wycieku danych poza pasmem.