CVE-2026-61915
Publiée le 2026-09-09 · Dernière modification le 2026-09-16
Les serveurs Cyrus IMAP utilisant des versions antérieures à la 3.12.4 sont concernés s'ils fournissent des services de calendrier CalDAV. Un utilisateur authentifié peut provoquer le plantage d'un processus worker CalDAV en envoyant une requête PATCH spécifiquement conçue, entraînant un déni de service. Bien que cela nécessite un accès réseau et des identifiants valides, l'attaque est difficile à exécuter car elle requiert une configuration de ressources très spécifique pour déclencher l'erreur de mémoire.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in Cyrus IMAP before 3.12.4. There is a VPATCH BYPARAM double-free. An authenticated calendar user could crash a Cyrus CalDAV worker with a PATCH containing PATCH-ACTION="BYPARAM@..." against a resource with two or more properties of the matched kind. The memory holding the selector would be freed once on each iteration over the properties.