CVE-2026-127111

Nome do Software Vulnerável e Versões Afetadas SOGo versões anteriores a 5.12.13

Descrição Uma restrição inadequada de tentativas excessivas de autenticação permite que invasores não autenticados redefinam senhas de contas. Ao adivinhar repetidamente as respostas de perguntas secretas através do endpoint 'passwordRecoveryCheck', que carece de bloqueio ou limitação de taxa, os invasores podem obter um JWT (JSON Web Token) de recuperação válido. Esse token pode então ser usado para alterar a senha da conta sem as credenciais originais e fazer login através do endpoint 'connect', resultando no controle total da conta para contas que não possuem TOTP (Senha de Uso Único Baseada em Tempo) habilitado.

Recomendações Atualize o SOGo para a versão 5.12.13.