Vulnerabilitates in YunoHost-Apps sogo_yhn software
CVE ID
CVE-2026-74864
Publication date
30 Septembris 2026
Vendor
YunoHost-Apps
Product
sogo_yhn
Vulnerable versions
Omnes ante 5.8.0~ynh9
Vulnerability type (CWE)
Authorization bypass per User-Controlled key (CWE-639)
Report source
Report to CERT Polska
CVE ID
CVE-2026-74865
Publication date
30 Septembris 2026
Vendor
YunoHost-Apps
Product
sogo_yhn
Vulnerable versions
Omnes ante 5.8.0~ynh9
Vulnerability type (CWE)
Authorization bypass per User-Controlled key (CWE-639)
Report source
Report to CERT Polska
Description
CERT Polska nuntium de vulnerabilitatibus in YunoHost-Apps sogo_yhn software accepit et in coordinatione eorum divulgationis participavit.
Vulnerabilitas CVE-2026-74864: sogo_yhn SOGo configurat cum parametro qui postulat petitionem cum capite HTTP "x-webobjects-remote-user" tractari ut a verificato usuario missa, sine valida validatione password. Quoniam Nginx hanc caput non removet, quilibet client eam arbitrario suppeditare potest et accessum habere ut quivis user, incluso privilegiato usuario, sine praebenda password.
Vulnerabilitas CVE-2026-74865: sogo_yhn SOGo configurat cum parametro "SOGoTrustProxyAuthentication=YES". Hoc facit ut password durante authenticatione HTTP Basic bypassetur. Impostor non authenticatus qui nomen usoris existentis et quamlibet arbitrariam password praebet, ad rationem illius usoris feliciter accedere potest.
Haec problemata in versione 5.8.0~ynh9 correcta sunt.
Credits
Gratias agimus Przemysław Knycz ex WeKrwi.IT (https://github.com/djrzulf) pro responsabili nuntio vulnerabilitatis.
Plura de processu coordinato vulnerabilitatis divulgationis apud CERT Polska inveniuntur ad https://cert.pl/en/cvd/.