PT-2026-145859
CVE-2026-127111
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SOGo الإصدارات السابقة لـ 5.12.13
الوصف
يوجد قصور في تقييد محاولات المصادقة المفرطة مما يسمح للمهاجمين غير المصرح لهم بإعادة تعيين كلمات مرور الحسابات. من خلال التخمين المتكرر لإجابات الأسئلة السرية عبر نقطة النهاية 'passwordRecoveryCheck'، والتي تفتقر إلى خاصية القفل أو تحديد معدل الطلبات، يمكن للمهاجمين الحصول على رمز JWT (JSON Web Token) صالح للاسترداد. يمكن بعد ذلك استخدام هذا الرمز لتغيير كلمة مرور الحساب دون الحاجة إلى بيانات الاعتماد القديمة وتسجيل الدخول عبر نقطة النهاية 'connect'، مما يؤدي إلى الاستيلاء الكامل على الحسابات التي لا تفعل خاصية TOTP (كلمة المرور لمرة واحدة المستندة إلى الوقت).
التوصيات
تحديث SOGo إلى الإصدار 5.12.13.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾