CVE-2026-47085
Publiée le 2026-07-16 · Dernière modification le 2026-10-24
Les serveurs Cyrus IMAP jusqu'à la version 3.12.2 sont affectés par une faille dans la fonctionnalité peu commune URLAUTH. Un attaquant distant non authentifié connaissant le nom d'un dossier spécifique sur le compte d'une victime pourrait potentiellement forger un jeton d'accès pour lire cette boîte aux lettres. Cette attaque est difficile à exécuter car elle nécessite une clé prévisible et repose sur une fonctionnalité rarement utilisée par les clients de messagerie modernes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in cyrus-imapd in Cyrus IMAP through 3.12.2. URLAUTH token forgery can occur via a missing mboxkey. If an attacker knew a folder name on the victim's account for which the victim had never issued an auth URL, they could forge a working URLAUTH token by computing an HMAC-SHA1 value with a predictable key, giving them read access to the mailbox. (URLAUTH is an obscure feature, meaning that the odds of any user actually being susceptible to this attack are very low. Perhaps no public clients use URLAUTH.)