An attacker that has valid credentials can use IMAP LIST command to consume CPU.

Üreticinin bildirdiği sürümler

Kaydı açan otorite (OX) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Open-Xchange GmbH OX Dovecot CE

  • 2.3.0 ve sonrası · 2.4.5 öncesietkilenir · semver

• Open-Xchange GmbH OX Dovecot Pro

  • 2.3.0 ve sonrası · 3.0.7 öncesietkilenir · semver
  • 3.1.0 ve sonrası · 3.1.6 öncesietkilenir · semver

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2026-42007An attacker that has valid credentials can use a Sieve script with the editheader extension to trigger a use-after-free in the mail editing
  36İzleyin
• CVE-2026-42391An unauthenticated attacker can send an IMAP ID command with a very large number of parameters before logging in, which causes memory and CP
  30İzleyin
• CVE-2026-33605An unauthenticated attacker can crash the ManageSieve login process by sending a small malformed command before authenticating.
  30İzleyin
• CVE-2026-27852An attacker that can send mail to a user can craft a message whose headers contain a very large number of email addresses or MIME parameters
  30İzleyin
• CVE-2024-23185Very large headers can cause resource exhaustion when parsing message.
  30İzleyin
• CVE-2026-73208An attacker that holds a token intended for a different purpose can authenticate, because when an OAuth2 token response does not contain a s
  29İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

İç içe yapıları çözümleyen kod derinlik ya da boyut sınırı koymuyor. Küçük bir girdi orantısız işlem yüküne dönüşebilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("çok derin");4  return node.children.map((c) => expand(c, depth + 1));5}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.