遠端 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 26.04 LTS 主機上安裝的多個套件受到 USN-8504-1 公告中提及的多個弱點影響。

    據發現，SOGo 沒有正確清理用於事件、任務和聯繫人的類別。遠端驗證的攻擊者可能會利用此問題來執行跨網站指令碼攻擊。此問題只會影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 26.04 LTS。
    (CVE-2025-71276)

    據發現，SOGo 未正確清理提示查詢參數。遠端攻擊者可能會利用此問題來執行跨網站指令碼攻擊。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-3054)

    據發現，當使用者停用並重新啟用一次性密碼時，SOGo 不會更新該密碼，並且使用的長度比建議的長度短。遠端攻擊者可能會利用此問題繞過驗證。此問題僅影響 Ubuntu 22.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-33550)

    據發現，SOGo 未正確使用使用者來源的 SQL 適配器，導致使用某些資料庫時出現 SQL 插入。遠端驗證的攻擊者可能會利用此問題來取得敏感資訊或執行任意 SQL 命令。（CVE-2026-46445， CVE-2026-46446）

    據發現，SOGo 未正確清理包含 ICS 日曆邀請的郵件。遠端攻擊者可能會利用此問題來執行跨網站指令碼攻擊。這個問題只會影響 Ubuntu 26.04 LTS。(CVE-2026-8496)

    據發現，SOGo 在管理存取控制清單時未正確驗證識別碼。遠端驗證的攻擊者可能會利用此問題來執行 SQL 插入攻擊並取得敏感資訊。（CVE-2026-8851）

    據發現，SOGo 沒有正確清理主題參數。遠端攻擊者可能會利用此問題來執行跨網站指令碼攻擊。此問題只會影響 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2025-63499)

    據發現，SOGo 未正確清理登入頁面上的 userName 參數。遠端攻擊者可能會利用此問題來執行跨網站指令碼攻擊。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2025-63498)

    據發現，SOGo 在預覽附件時未正確清理附件。遠端攻擊者可能會利用此問題來執行跨網站指令碼攻擊。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-34462)

    據發現，SOGo 不會驗證使用 SAML 進行驗證時收到的 SAML 判斷提示的簽章。遠端攻擊者可能會利用此問題來模擬其他使用者。此問題只會影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-33054)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝的套件會受到 dla-4657 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4657-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026 年 6 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 ： sogo 版本 ： 5.8.0-2+deb12u3 CVE ID ： CVE-2026-46445 CVE-2026-46446 CVE-2025-71276 CVE-2026-33550 CVE-2026-8496 CVE-2026-8851 Debian 錯誤 ： 1131605 1131606

    在開放原始碼的網路郵件和群組軟體伺服器 sogo 中發現多個弱點：

    * ： CVE-2026-46445使用 PostgreSQL 作為使用者資料庫時的 SQL 插入弱點。

    * CVE-2026-46446：解決使用 MariaDB 或 PostgreSQL 作為使用者資料庫且密碼以明文形式儲存時的 SQL 插入弱點。

    * CVE-2025-71276：修正事件、任務和聯絡人類別中的跨網站指令碼 （XSS） 弱點。

    * CVE-2026-33550：解決一些基於時間的一次性密碼 （TOTP） 弱點，包括使用者停用/啟用 TOTP、各種值未更新，以及建議的 TOTP 長度問題。

    * CVE-2026-8496：修正惡意製作的 .ICS 行事曆邀請檔允許在已驗證的 webmail 工作階段內執行任意 JavaScript。

    * CVE-2026-8851：修正存取控制清單管理功能中的 SQL 插入弱點，此弱點可能允許經驗證的使用者透過 addUserInAcls 端點的 uid 參數插入 SQL 子查詢，從資料庫擷取任意資料。

    此外，還新增了修補程式，以修正訊息主旨轉譯中的跨網站指令碼 （XSS） 弱點。

    對於 Debian 11 bullseye，這些問題已在 5.8.0-2+deb12u3 版本中修復。

    我們建議您升級您的 sogo 套件。

    感謝 Peter Wienemann <wiene@debian.org> 準備此更新。

    有關崇光百貨的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/sogo

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Alinto SOGo 版本 5.12.7中存在跨網站指令碼 （XSS） 弱點。惡意製作的 ICS 行事曆邀請檔允許在經過驗證的 SOGo 網路郵件工作階段內執行任意 JavaScript。發生此問題的原因是內嵌在 ICS 檔案描述欄位中的 SVG 內容 （具有 onrepeat 事件處理常式） 在呈現在網路郵件介面中之前未充分清理。當查看惡意日曆邀請時，遠端攻擊者可以在受害者的瀏覽器中執行 JavaScript。成功利用可能會允許信箱存取、電子郵件和聯絡人遭竊取、工作階段劫持，以及經過驗證的使用者允許的其他動作。（CVE-2026-8496）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6366 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6366-1 Müehlenhoff security@debian.org https://www.debian.org/security/Moritz 2026 年 6 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：sogo CVE ID： CVE-2025-71276 CVE-2026-3054 CVE-2026-8496 CVE-2026-8851 CVE-2026-33550 CVE-2026-46445 CVE-2026-46446

    在 SOGo 群組軟體伺服器中發現多個安全漏洞，可能導致跨網站指令碼或 SQL 插入。

    對於穩定版 （trixie），這些問題已在 5.12.1-3+deb13u2 版中修正。

    我們建議您升級您的 sogo 套件。

    有關崇光百貨的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/sogo

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
325422	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 26.04 LTS：SOGo 漏洞（USN-8504-1）	Nessus	Ubuntu Local Security Checks	2026/7/7	2026/7/7	high
323707	Debian dla-4657：sogo - 安全性更新	Nessus	Debian Local Security Checks	2026/6/29	2026/6/29	high
314652	Linux Distros 未修補的弱點：CVE-2026-8496	Nessus	Misc.	2026/5/14	2026/7/7	medium
323061	Debian dsa-6366：sogo - 安全性更新	Nessus	Debian Local Security Checks	2026/6/26	2026/7/21	high

偵測

搜尋 Plugin

high

high

medium

high