CVE-2026-93453highCWE-640

CVE-2026-93453: fallo de gravedad alta en Alinto SOGo

SOGo before 5.12.11 Password Reset Token Interception via Origin Header

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear SOGo+ Monitorear sogo

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 8.7epss 0.5%
de la publicación al arma1 día
Publicada en NVD17 sept
1ª PoC+1d
SOGo before 5.12.11 constructs password-reset links using the client-supplied Origin header as the authority, allowing unauthenticated attackers to redirect recovery tokens to attacker-controlled domains. Attackers can submit password recovery requests with a malicious Origin header to have valid password-reset tokens mailed to victim recovery addresses within links pointing to attacker infrastructure, enabling account takeover.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
Productos afectados
Alinto · SOGo
PoCs públicas encontradas — 1
githubgithub.com/Faceless0x7/CVE-2026-93453★ 2
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Alinto SOGo

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-4556LOWAlinto SOGo Identity SOGoUserDefaults.m _migrateMailIdentities cross site scriptingEPSS 0.6%CVE-2022-4558LOWAlinto SOGo Folder/Mail NSString+Utilities.m cross site scriptingEPSS 0.6%CVE-2026-3054MEDIUMAlinto SOGo cross site scriptingEPSS 0.5%CVE-2026-46446HIGHCVE-2026-46446EPSS 0.2%CVE-2026-46445HIGHCVE-2026-46445EPSS 0.2%CVE-2025-71276MEDIUMCVE-2025-71276EPSS 0.1%