PT-2026-110140 · Traccar · Traccar
CVSS v3.1
6.8
متوسطة
| المتجه | AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Traccar الإصدارات السابقة لـ 6.16.1
الوصف
توجد ثغرة في آلية استعادة كلمة المرور لأن
TokenManager لا يربط الرموز (tokens) بغرض محدد. يسمح هذا للمهاجم الذي يمتلك رابط إعادة تعيين كلمة مرور مسرب بإعادة استخدام الرمز كبيانات اعتماد للجلسة. من خلال استخدام نقطة النهاية '/api/session'، يمكن للمهاجم الحصول على جلسة كاملة، أو من خلال استخدام نقطة النهاية '/api/password/update'، يمكنه تغيير كلمة مرور الحساب. يمكن أن يستمر هذا الوصول لمدة سبعة أيام، حتى لو قام الضحية بإعادة تعيين كلمة المرور الخاصة به.التوصيات
التحديث إلى إصدار أحدث من 6.16.0.
استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Traccar