PT-2026-137466
CVE-2026-109928
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache OFBiz الإصدارات من 24.09 إلى 24.07.09
الوصف
يسمح التنفيذ غير الصحيح لخوارزمية المصادقة في التحقق من صحة رمز JSON Web Token (JWT) لإعادة تعيين كلمة المرور وتسجيل الدخول للمهاجم بالمصادقة كـ مستخدم والحصول على جلسة كاملة وغير مقيدة. يحدث هذا إذا حصل المهاجم على رمز إعادة تعيين كلمة المرور من خلال اعتراض البريد الإلكتروني، أو تعرض السجلات، أو هجوم man-in-the-middle على نقل البريد. يمكن للمهاجم الحصول على وصول إداري إذا كان الحساب المستهدف يمتلك صلاحيات مسؤول، وذلك عن طريق إرسال الرمز مباشرة إلى endpoint تسجيل الدخول بدلاً من اتباع تدفق تغيير كلمة المرور المخصص.
التوصيات
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾