CVE-2026-93453highCWE-640

CVE-2026-93453: falha de alta gravidade em Alinto SOGo

SOGo before 5.12.11 Password Reset Token Interception via Origin Header

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar SOGo+ Monitorar sogo

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

41Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 8.7epss 0.5%
da publicação à arma1 dia
Publicada no NVD17 de set.
1ª PoC+1d
SOGo before 5.12.11 constructs password-reset links using the client-supplied Origin header as the authority, allowing unauthenticated attackers to redirect recovery tokens to attacker-controlled domains. Attackers can submit password recovery requests with a malicious Origin header to have valid password-reset tokens mailed to victim recovery addresses within links pointing to attacker infrastructure, enabling account takeover.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
Produtos afetados
Alinto · SOGo
PoCs públicas encontradas — 1
githubgithub.com/Faceless0x7/CVE-2026-93453★ 2
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Alinto SOGo

No mesmo produto, das mais perigosas para as menos.

CVE-2022-4556LOWAlinto SOGo Identity SOGoUserDefaults.m _migrateMailIdentities cross site scriptingEPSS 0.6%CVE-2022-4558LOWAlinto SOGo Folder/Mail NSString+Utilities.m cross site scriptingEPSS 0.6%CVE-2026-3054MEDIUMAlinto SOGo cross site scriptingEPSS 0.5%CVE-2026-46446HIGHCVE-2026-46446EPSS 0.2%CVE-2026-46445HIGHCVE-2026-46445EPSS 0.2%CVE-2025-71276MEDIUMCVE-2025-71276EPSS 0.1%