Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-12822

Опубликовано: 20 апр. 2026
Источник: fstec
CVSS3: 8.1
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость функционала management сервера программного обеспечения для совместной работы SOGo связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и оказать влияние на целостность данных

Вендор

Canonical Ltd.
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Inverse Inc.

Наименование ПО

Ubuntu
Debian GNU/Linux
Astra Linux Special Edition
SOGo

Версия ПО

16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
10 (Debian GNU/Linux)
20.04 LTS (Ubuntu)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
22.04 LTS (Ubuntu)
13 (Debian GNU/Linux)
26.04 LTS (Ubuntu)
до 5.12.8 (SOGo)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 20.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
Canonical Ltd. Ubuntu 22.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 13
Canonical Ltd. Ubuntu 26.04 LTS

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,1)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций:
Для SOGo:
https://github.com/Alinto/sogo/commit/f9b71059f4f382d7b337d16ce1257443ade43d02
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2026-8851
https://deb.freexian.com/extended-lts/tracker/CVE-2026-8851
Для ОС Astra Linux:
обновить пакет sogo до 5.0.1-4+deb11u3.astra1 или более высокой версии: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0820SE17
Для Ubuntu:
https://ubuntu.com/security/CVE-2026-8851

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 25%
0.00316
Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
4 месяца назад

SOGo versions 5.12.7 and prior contains a SQL injection vulnerability in the Access Control List management functionality that allows authenticated users to extract arbitrary data from the database by injecting SQL subqueries through the uid parameter of the addUserInAcls endpoint. Attackers can inject malicious SQL code to write extracted data into the sogo_acl table and retrieve it through the /acls API, establishing an out-of-band data exfiltration channel.

CVSS3: 8.1
nvd
4 месяца назад

SOGo versions 5.12.7 and prior contains a SQL injection vulnerability in the Access Control List management functionality that allows authenticated users to extract arbitrary data from the database by injecting SQL subqueries through the uid parameter of the addUserInAcls endpoint. Attackers can inject malicious SQL code to write extracted data into the sogo_acl table and retrieve it through the /acls API, establishing an out-of-band data exfiltration channel.

CVSS3: 8.1
debian
4 месяца назад

SOGo versions 5.12.7 and prior contains a SQL injection vulnerability ...

CVSS3: 8.1
github
4 месяца назад

SOGo 5.12.7 contains a SQL injection vulnerability in the Access Control List management functionality that allows authenticated users to extract arbitrary data from the database by injecting SQL subqueries through the uid parameter of the addUserInAcls endpoint. Attackers can inject malicious SQL code to write extracted data into the sogo_acl table and retrieve it through the /acls API, establishing an out-of-band data exfiltration channel.

EPSS

Процентиль: 25%
0.00316
Низкий

8.1 High

CVSS3

8.5 High

CVSS2