CVE-2026-127111: Vulnerabilidad de recuperación de contraseña en SOGo permite toma de cuentas

Qué es y cómo funciona

La vulnerabilidad CVE-2026-127111 (CWE-307) es una falla en el mecanismo de recuperación de contraseña del software de colaboración SOGo. Un atacante no autenticado puede enviar intentos ilimitados para adivinar la respuesta a la pregunta secreta de una cuenta a través del endpoint passwordRecoveryCheck, sin que el sistema aplique bloqueos o límites de tasa. Al adivinar correctamente, el atacante obtiene un token JWT de recuperación válido, que luego puede usar para cambiar la contraseña de la cuenta sin conocer la credencial anterior y autenticarse mediante el endpoint connect, logrando una toma completa de la cuenta. Este ataque solo funciona en cuentas que no tienen habilitada la autenticación de dos factores (TOTP).

Productos y versiones afectadas

Todas las versiones de SOGo anteriores a la 5.12.13 son vulnerables.

Impacto y probabilidad de explotación

El impacto es alto, ya que permite a un atacante remoto tomar control de cuentas de usuario. La puntuación CVSS es 7.4 (Alta). Según datos de Shodan, actualmente hay 0 hosts detectados como expuestos a esta vulnerabilidad en internet, lo que sugiere un volumen bajo de objetivos inmediatamente accesibles. El INCIBE-CERT de España clasifica la severidad de este CVE como P (Prioritaria).

Qué hacer

Los administradores deben actualizar SOGo a la versión 5.12.13 o superior de inmediato para parchar la vulnerabilidad. Como medida adicional, se recomienda habilitar la autenticación de dos factores (TOTP) en las cuentas para mitigar este vector de ataque.

CVE	CVE-2026-127111
Severidad	HIGH
CVSS	7.4 / 10
CWE	CWE-307
Exposición (Shodan)	sin hosts expuestos detectados actualmente