SOGo before 5.12.7, when PostgreSQL or MariaDB is used, and…(CVE-2026-46446・CVSS 7.1)

概要

SOGo before 5.12.7, when PostgreSQL or MariaDB is used, and cleartext passwords are stored,...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

SOGo before 5.12.7, when PostgreSQL or MariaDB is used, and cleartext passwords are stored, allows SQL injection. This is related to c_password = '%@' in changePasswordForLogin.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

SOGo 5.12.7未満のバージョンは、PostgreSQLもしくはMariaDBが使用され、クリアテキストのパスワードが保存されている場合に、SQLインジェクションの脆弱性があります。これはchangePasswordForLoginでのc_password = '%@'の使用に関連しています。攻撃者はこの脆弱性を利用してデータベースの操作を不正に行う可能性があります。

❓ 何が問題か

SOGoの古いバージョンにおけるSQLインジェクションの脆弱性。

📍 影響範囲

SOGo 5.12.7未満、PostgreSQLまたはMariaDBの使用で発生。

🔥 重要度

未承認のデータベース操作を許す可能性があり、セキュリティに重大な影響を与える。

🔧 修正方法

SOGoをバージョン5.12.7にアップデートする。

🛡️ 暫定回避

情報なし

🔍 検知方法

ログインプロセスでのパスワード変更操作を精査する。

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Debian DEBIAN-CVE-2026-46446 sogo
Ubuntu UBUNTU-CVE-2026-46446 sogo