PT-2026-116606 · Unknown · Projectsend
CVE-2026-112002
·
تاريخ النشر
2026-10-18
·
تاريخ التحديث
2026-10-18
CVSS v4.0
7.6
عالية
| المتجه | AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
ProjectSend الإصدارات 2.5.0 through 2.6.x
Description
توجد مشكلة في الدالة
PasswordController::update() تسمح لجلسات الحسابات التي تم إنشاؤها عبر وسائل التواصل الاجتماعي بتعيين كلمات مرور محلية دون تقديم كلمة المرور الحالية. يمكن للمهاجم الذي يمتلك ملف تعريف ارتباط (cookie) مسروق للجلسة استخدام نقطة النهاية 'PUT /settings/password' لإنشاء كلمة مرور محلية دائمة وتسجيل عامل مصادقة ثانٍ خاص به، مما يؤدي إلى الاستيلاء الدائم على الحساب.Recommendations
تحديث ProjectSend إلى الإصدار 2.7.0 أو إصدار أحدث.
استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Projectsend