CVE-2026-61909
Vulnérabilité faible dans Cyrus IMAP (cyrusimap)
CVSS 3.5 · Faible
EPSS 0.2%
cyrusimap•Cyrus IMAP•Versions : 3.9.0, 3.11.0, <3.12.4, <3.8.8, 0, <3.10.4
Description
An issue was discovered in Cyrus IMAP before 3.12.4. CalDAV/CardDAV multiget bypasses a per-href ACL. An authenticated DAV user with some shared access to another user's calendar or address book could read even unshared events or contacts by including the target hrefs in a calendar-multiget or addressbook-multiget REPORT.
Gravité et risque d'exploitation
CVE-2026-61909 obtient un score CVSS de 3.5/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.20 %, ce qui la place devant 9.8 % des CVE référencées.
Que faire ?
- Vérifiez si Cyrus IMAP (versions 3.9.0, 3.11.0, <3.12.4, <3.8.8, 0, <3.10.4) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.