CVE-2026-61909
Publiée le 2026-09-09 · Dernière modification le 2026-09-16
Les serveurs Cyrus IMAP antérieurs à la version 3.12.4 sont affectés par une faille dans la gestion des permissions CalDAV et CardDAV. Un utilisateur authentifié disposant d'un accès partagé limité au calendrier ou au carnet d'adresses d'une autre personne peut contourner certaines restrictions pour lire des événements ou des contacts privés. Cela nécessite un accès réseau et un compte valide, bien que la difficulté technique pour déclencher ce contournement soit considérée comme élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in Cyrus IMAP before 3.12.4. CalDAV/CardDAV multiget bypasses a per-href ACL. An authenticated DAV user with some shared access to another user's calendar or address book could read even unshared events or contacts by including the target hrefs in a calendar-multiget or addressbook-multiget REPORT.