CVE-2025-50340
Une vulnérabilité de type Insecure Direct Object Reference (IDOR) a été découverte dans SOGo Webmail jusqu'à la version 5.6.0 incluse, permettant à un...
- Publié
- 4 août 2025
- Mise à jour
- 15 août 2025
- Attribution de CNA
- mitre
- Preuve observée
- 8 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:NFaible · 30 prochains jours
- Percentile
- 25,9 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Une vulnérabilité de type Insecure Direct Object Reference (IDOR) a été découverte dans SOGo Webmail jusqu'à la version 5.6.0 incluse, permettant à un utilisateur authentifié d'envoyer des e-mails au nom d'autres utilisateurs en manipulant un identifiant contrôlé par l'utilisateur dans la requête d'envoi d'e-mail. Le serveur ne vérifie pas si l'utilisateur authentifié est autorisé à utiliser l'identité d'expéditeur spécifiée, ce qui entraîne la livraison non autorisée de messages en tant qu'un autre utilisateur. Cela peut conduire à de l'usurpation d'identité, du phishing ou des communications non autorisées au sein du système. Remarque : cela est contesté par le fournisseur, car la seule façon efficace de prévenir cette usurpation d'expéditeur est au niveau du serveur SMTP, et non dans un client tel que SOGo.
Sources
Insecure Direct Object Reference (vulnérabilité IDOR) dans SOGo Webmail permet à un utilisateur d'envoyer des e-mails au nom d'un autre utilisateur.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.