CVE-2026-113710

اسم البرنامج المصاب والإصدارات المتأثرة ApostropheCMS الإصدارات السابقة لـ 4.33.0

Description يقوم نقطة نهاية تغيير كلمة المرور ذاتية الخدمة بالتحقق من كلمة المرور الحالية ولكنها لا تستخدم عداد المحاولات الفاشلة، أو آلية التحديد (throttle)، أو التأخير، أو آلية القفل الخاصة بوحدة تسجيل الدخول. يمكن للمهاجم الذي يمتلك جلسة مصادقة صالحة تقديم تخمينات متكررة لكلمة المرور الحالية دون تلقي استجابة قفل أو تحديد. إذا كانت كلمة المرور الحالية ضعيفة أو مكررة، فقد يسمح ذلك للمهاجم بتجاوز فحص كلمة المرور الحالية واستبدال كلمة مرور الحساب، مما يؤدي إلى الاستيلاء على الحساب. تحدث هذه المشكلة في نقطة النهاية 'PATCH /api/v1/@apostrophecms/settings/password' عند معالجة المتغير passwordCurrent عبر الدالة handlePasswordProtectedSubform().

Recommendations تحديث ApostropheCMS إلى الإصدار 4.33.0.