CVE-2025-50340

概要

SOGo Webmail 5.6.0 以前において、安全でない直接オブジェクト参照 (IDOR) の脆弱性が発見されました。認証済みユーザーが、メール送信リクエスト内のユーザー制御可能な識別子を操作することで、他のユーザーになりすましてメールを送信できる可能性があります。サーバーは、認証済みユーザーが指定された送信者身元を使用する権限を持っているかどうかを検証しないため、別のユーザーとして不正にメッセージが配信される結果となります。これにより、システム内でのなりすまし、フィッシング、または不正な通信が発生する可能性があります。注記: この問題はサプライヤーによって異議が唱えられています。この送信者偽装を防ぐ唯一の効果的な方法は、SOGo などのクライアント内ではなく SMTP サーバー上で行うことだからです。

• SOGo_web_mail-vulnerability-CVE-2025-50340PoC

  SOGo Webmail における安全でない直接オブジェクト参照 (IDOR 脆弱性) により、ユーザーが別のユーザーになり代わってメールを送信できます。