Summary
SQL injection in SOGo (CVE-2026-46446). Confidential information can be exposed externally.
Original description
The description as published by the source.
SOGo before 5.12.7, when PostgreSQL or MariaDB is used, and cleartext passwords are stored, allows SQL injection. This is related to c_password = '%@' in changePasswordForLogin.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
SOGo 5.12.7未満のバージョンは、PostgreSQLもしくはMariaDBが使用され、クリアテキストのパスワードが保存されている場合に、SQLインジェクションの脆弱性があります。これはchangePasswordForLoginでのc_password = '%@'の使用に関連しています。攻撃者はこの脆弱性を利用してデータベースの操作を不正に行う可能性があります。
SOGoの古いバージョンにおけるSQLインジェクションの脆弱性。
SOGo 5.12.7未満、PostgreSQLまたはMariaDBの使用で発生。
未承認のデータベース操作を許す可能性があり、セキュリティに重大な影響を与える。
SOGoをバージョン5.12.7にアップデートする。
情報なし
ログインプロセスでのパスワード変更操作を精査する。
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2026-46446 sogo
- Ubuntu UBUNTU-CVE-2026-46446 sogo
References
- web cve@mitre.org
- web cve@mitre.org
- web cve@mitre.org
- web nvd.nist.gov
- web github.com