Debian 13.7为cyrus-imapd纳入一组访问检查修复和一个越界读取修复，覆盖LOCALDELETE、GENURLAUTH、URLAUTH、XAPPLEPUSHSERVICE、LISTRIGHTS、ESEARCH、Sieve vacation以及MIME解析等路径。
这些问题大多要求攻击者已经拥有可认证的IMAP账户，但认证成功不等于可以忽略。共享邮件平台的核心安全边界正是限制普通用户只能访问自己的邮箱与获授权资源。
权限缺陷集中在非日常IMAP命令
CVE-2026-47084允许已认证的非管理员调用本应仅限管理员的LOCALDELETE，删除其没有权限的邮箱。CVE-2026-47089则让普通认证用户通过LISTRIGHTS了解目标邮箱的主体与权限信息。
这些命令可能不是常用客户端的主路径，但服务器仍会处理直接发来的协议请求。功能冷门不能替代服务端ACL检查，尤其是在多租户邮件系统中。
URLAUTH问题影响令牌签发和撤权
上游发布说明列出三类URLAUTH风险：用户可能为没有读取权限的邮箱签发令牌；授权者权限被撤销后，旧URL仍可能继续生效；在特定从未签发过授权URL的目录场景中，还可能利用可预测密钥伪造令牌。
上游同时说明URLAUTH使用率较低，第三类攻击实际命中概率也较低。这属于风险边界说明，不代表启用了URLAUTH的服务器可以跳过更新。
越界读取可能把堆内存返回给用户
CVE-2026-47088涉及嵌套MIME注释解析。已认证用户可以构造一个RFC 822注释以反斜杠结尾的邮件，让解析器越过消息末尾读取堆内存，并把读取到的内容返回给该用户。
该问题与邮箱ACL无关，而是消息解析的内存安全缺陷。限制普通用户访问其他邮箱不能阻止恶意用户向自己的邮箱写入特制消息。
ESEARCH和推送路径也存在信息边界问题
ESEARCH问题可能让认证用户枚举其他账户下的目录名并形成内容侧信道；XAPPLEPUSHSERVICE问题可以探测邮箱是否存在，并把目标邮箱变化通知发送到攻击者自己的推送设备，但官方说明它不会泄露邮件正文。
Sieve vacation的:fcc路径还曾绕过目标邮箱的插入权限。本次修复不是单一命令补丁，而是对多个授权入口的集中收紧。
邮件管理员应完成版本与访问双重验收
管理员可运行apt update并用apt policy cyrus-imapd核对已安装版本与Debian镜像候选版本，升级后在维护窗口重启Cyrus IMAP相关服务。集群或代理架构还应确认每个后端节点都完成换版。
验收除检查服务健康和收发邮件外，还应确认普通账户无法调用管理员命令、撤销后的授权不再有效，并监控异常IMAP命令与解析错误。只有修复版进程全部运行且跨账户访问边界仍符合设计，更新才算完成。
