CVE catalog

CVE-2026-33550

SOGo before 5.12.5 does not renew the OTP if a user disables/enables it, and has a too short length (only 12 digits instead of the 20 recommended).

[CVE catalog]

Severity
Low · CVSS 2
Published
Source
[NVD] · [CVE record]
EPSS
0.14% · Oct 25, 2026

SOGo before 5.12.5 does not renew the OTP if a user disables/enables it, and has a too short length (only 12 digits instead of the 20 recommended).

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debiansogosid5.12.12-1fixed
Debiansogotrixie5.12.1-3+deb13u2fixed
Debiansogotrixie-security5.12.1-3+deb13u3fixed
Debiansogobookworm5.8.0-2+deb12u3fixed
Debiansogobookworm-security5.8.0-2+deb12u3fixed
CpesogoNot reportedNot reportedvulnerable
Ubuntusogopro5.12.1-3vulnerable
Ubuntusogopro5.12.4-1vulnerable
Ubuntusogopro5.12.4-1.1vulnerable
Ubuntusogopro5.12.4-1.2vulnerable
Ubuntusogopro5.12.4-1.2ubuntu0.1~esm1fixed
Ubuntusogo25.105.11.2-4vulnerable
Ubuntusogo25.105.12.1-1vulnerable
Ubuntusogo25.105.12.1-1build2vulnerable
Ubuntusogo25.105.12.1-2vulnerable
Ubuntusogo25.105.12.1-3vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debiansogosourcesid5.12.6-1not yet assignedNot reported[1131606]
Debiansogosourcetrixie5.12.1-3+deb13u2not yet assignedNot reported[1131606]
Debiansogosourcebookworm5.8.0-2+deb12u3not yet assignedNot reported[1131606]
Ubuntusogodebpro5.12.4-1.2ubuntu0.1~esm1Not reportedUBUNTU-CVE-2026-33550Not reported

[Debian bug #1131606]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [sogo]Fixed
    Details (4)

    • 5.8.0-2+deb12u3 · amd64 · bookworm

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · arm64 · bookworm

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · amd64 · bookworm-security

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · arm64 · bookworm-security

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

  • [sogo-activesync]Fixed

    Source package: [sogo]

    Details (4)

    • 5.8.0-2+deb12u3 · amd64 · bookworm

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · arm64 · bookworm

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · amd64 · bookworm-security

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · arm64 · bookworm-security

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

  • [sogo-common]Fixed

    Source package: [sogo]

    Details (4)

    • 5.8.0-2+deb12u3 · all · bookworm

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · all · bookworm

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · all · bookworm-security

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

    • 5.8.0-2+deb12u3 · all · bookworm-security

      Fixed · Fixed: 5.8.0-2+deb12u3

      nvd · sogo · debian · bookworm; nvd · sogo · debian · 12

[Debian 13 (Trixie)]

  • [sogo]Fixed
    Details (5)

    • 5.12.1-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

  • [sogo-activesync]Fixed

    Source package: [sogo]

    Details (5)

    • 5.12.1-3+deb13u2 · amd64 · trixie

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · arm64 · trixie

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

  • [sogo-common]Fixed

    Source package: [sogo]

    Details (5)

    • 5.12.1-3+deb13u2 · all · trixie

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · all · trixie

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · all · trixie-security

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u2 · all · trixie-security · Historical version

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

    • 5.12.1-3+deb13u3 · all · trixie-security

      Fixed · Fixed: 5.12.1-3+deb13u2

      nvd · sogo · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]