Résumé
Injection SQL dans SOGo (CVE-2026-46446). Des informations confidentielles peuvent être exposées.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
SOGo before 5.12.7, when PostgreSQL or MariaDB is used, and cleartext passwords are stored, allows SQL injection. This is related to c_password = '%@' in changePasswordForLogin.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-46446 a été découverte dans sqli.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « sqli CVE-2026-46446 » sur le site de l'éditeur.
CVE-2026-46446 (sqli) — CWE-89 / CVSS v3 7.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
SOGoの古いバージョンにおけるSQLインジェクションの脆弱性。
SOGo 5.12.7未満、PostgreSQLまたはMariaDBの使用で発生。
未承認のデータベース操作を許す可能性があり、セキュリティに重大な影響を与える。
SOGoをバージョン5.12.7にアップデートする。
情報なし
ログインプロセスでのパスワード変更操作を精査する。
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-46446 sogo
- Ubuntu UBUNTU-CVE-2026-46446 sogo
Références
- advisory nvd.nist.gov
- advisory github.com
- web github.com
- web mail-archive.com
- web sogo.nu
- web github.com