¿Qué es y cómo funciona?
La vulnerabilidad CVE-2026-127135 (CWE-96) es una falla de inyección de scripts Sieve en el software de colaboración SOGo. Un usuario autenticado puede inyectar directivas arbitrarias de Sieve (como redirect o discard) manipulando la preferencia de dirección de notificación. Esto permite eludir la restricción de dominio de reenvío configurada por el administrador y, en consecuencia, redirigir o descartar correos entrantes.
Productos y versiones afectadas
Esta vulnerabilidad afecta a todas las versiones de SOGo anteriores a la 5.12.13.
Impacto y probabilidad de explotación
El impacto es la manipulación del flujo de correo electrónico. El INCIBE-CERT de España clasifica su severidad como P (Prioritaria). Según datos de Shodan, actualmente hay 0 hosts detectados expuestos en internet con esta vulnerabilidad, lo que sugiere un volumen bajo de objetivos directos en la red pública.
¿Qué hacer?
Se recomienda actualizar a la versión SOGo 5.12.13 o superior para aplicar el parche correspondiente.
| CVE | CVE-2026-127135 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 4.3 / 10 |
| CWE | CWE-96 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).