CVE-2026-73208

Nome do Software Vulnerável e Versões Afetadas Dovecot versões anteriores a 2.4.5-1.1

Description Existe uma falha de autenticação onde um token destinado a uma finalidade diferente pode ser usado para autenticação. Isso ocorre quando uma resposta de token OAuth2 não contém uma reivindicação de escopo (scope claim), fazendo com que o sistema utilize a reivindicação de audiência (audience claim) em seu lugar e a valide contra os escopos exigidos configurados. Como a reivindicação de audiência identifica o destinatário pretendido e não as ações permitidas, um token sem permissões relevantes pode ser aceito se o valor do destinatário coincidir com o nome de um escopo configurado. Esse comportamento também oculta falhas de configuração do provedor de identidade onde os escopos não estão sendo emitidos.

Recommendations Atualize para a versão 2.4.5-1.1. Garanta que o provedor de identidade emita uma reivindicação de escopo para todos os tokens usados com o Dovecot. Configure os nomes dos escopos para que não coincidam com os valores de audiência.