CVE-2026-47087
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W cyrus-imapd do wersji 3.12.2 wykryto problem z mechanizmem URLAUTH, który nie respektuje cofnięcia dostępu autoryzatora. Adres URL URLAUTH utworzony, gdy autoryzator miał dostęp, działał nadal po cofnięciu tego dostępu.
Ocena ryzyka
Ryzyko polega na tym, że użytkownik, któremu cofnięto uprawnienia, może nadal uzyskiwać dostęp do chronionych zasobów pocztowych za pomocą wcześniej wygenerowanego URLAUTH URL, co narusza kontrolę dostępu i może prowadzić do wycieku danych.
Rekomendacja
Zaleca się natychmiastową aktualizację cyrus-imapd do najnowszej wersji, która zawiera poprawkę dla tej luki. Należy również przejrzeć i unieważnić wszystkie istniejące URLAUTH URL dla użytkowników, którym cofnięto dostęp.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in cyrus-imapd in Cyrus IMAP through 3.12.2. URLAUTH does not honor revoked authorizer access. A URLAUTH URL minted while the authorizer had access continued to work after that access was revoked.