CVE-2026-73208

Farklı bir amaç için tasarlanmış bir tokene sahip olan bir saldırgan kimlik doğrulaması yapabilir; çünkü bir OAuth2 token yanıtı kapsam (scope) talebi içermediğinde, bunun yerine hedef kitle (audience) talebi kullanılır ve yapılandırılmış gerekli kapsamlarla karşılaştırılır. Bunlar farklı kavramlardır ve hedef kitle talebi, bir token'ın ne yapmaya yetkili olduğunu tanımlamaz. İlgili hiçbir izin vermeyen bir token, hedeflenen alıcı değeri tesadüfen yapılandırılmış bir kapsam adıyla eşleştiği için kabul edilebilir ve reddedilmesi gereken erişim sağlanabilir. Bu durum aynı zamanda, kapsamların hiç verilmediği bir kimlik sağlayıcı yanlış yapılandırmasını da gizler. Kimlik sağlayıcının Dovecot ile kullanılan tüm tokenlar için bir kapsam talebi yayınladığından ve yapılandırılan kapsam adlarının hedef kitle değerleriyle eşleşmediğinden emin olun. Güvenli sürüme güncelleyin. Bilinen halka açık herhangi bir exploit bulunmamaktadır.