CVE-2026-27856: dovecot +1 lainnya

csirt@kutim:~/threat-intel/cve/CVE-2026-27856

CVSS 5.9 · Medium EPSS 0,43%

Kerentanan Improper Authentication pada dovecot, open-xchange dovecot. Skor CVSS 3.1 5.9 (Medium) menurut NVD.

Deskripsi (NVD)

Doveadm credentials are verified using direct comparison which is susceptible to timing oracle attack. An attacker can use this to determine the configured credentials. Figuring out the credential will lead into full access to the affected component. Limit access to the doveadm http service port, install fixed version. No publicly available exploits are known.

Rincian

Terbit di NVD: 27 Maret 2026
Terakhir diubah: 15 Juli 2026
Status NVD: Modified
CVSS 3.1: 5.9 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-287: Improper Authentication
CWE-208: Observable Timing Discrepancy
EPSS (30 hari): 0,43% peluang dieksploitasi; lebih tinggi dari 35,8% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
dovecot	dovecot	Semua versi sebelum 2.4.3
open-xchange	dovecot	Semua versi sebelum 2.3.22.1
open-xchange	dovecot	Versi 3.0.0 hingga sebelum 3.0.5
open-xchange	dovecot	Versi 3.1.0 hingga sebelum 3.1.4

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.