同じ製品で同じ時期に公表された 2 件の脆弱性の 1 つです。まとめた解説: SOGoのパスワード回復に脆弱性、修正版5.12.13あり
SOGo before 5.12.13 Missing Rate Limiting on TOTP Verification
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Alintosogo |
5.12.13 未満→ 5.12.13 |
5.12.13 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-127131 sogo この記録に修正版の記載なし
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SOGo before 5.12.13 contains a missing rate limiting vulnerability in its web login TOTP verification that allows attackers who already possess a victim's password to brute-force the second-factor code without triggering any lockout. Attackers can send repeated POST requests to /SOGo/connect with wrong verification codes at high speed since failed TOTP attempts never increment the failed-login counter and SOGoMaximumFailedLoginCount does not apply, enabling indefinite guessing across 30-second code windows to bypass two-factor authentication.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- web github.com