CVE-2026-27860
Publiée le 2026-03-27 · Dernière modification le 2026-10-26
Les serveurs Dovecot utilisant l'authentification LDAP sont affectés si le paramètre `auth_username_chars` a été effacé. Un attaquant distant non authentifié peut injecter des filtres LDAP pour sonder la structure de votre annuaire ou potentiellement contourner certaines restrictions d'authentification. Cette action est difficile à exécuter, nécessite des erreurs de configuration spécifiques, et il n'existe actuellement aucun exploit public connu.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
If auth_username_chars is empty, it is possible to inject arbitrary LDAP filter to Dovecot's LDAP authentication. This leads to potentially bypassing restrictions and allows probing of LDAP structure. Do not clear out auth_username_chars, or install fixed version. No publicly available exploits are known.