PT-2026-138425
CVE-2026-63437
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
2FAuth الإصدارات السابقة لـ 8.0.0
الوصف
تفشل الدالة
recipients() في الملف app/Api/v1/Controllers/TwoFAccountShareController.php في استدعاء سياسة تفويض manageShares قبل إدراج المستلمين. عندما تكون ميزة مشاركة الحساب مفعلة، يمكن للمستخدم المصرح له الوصول إلى نقطة النهاية 'GET /api/v1/twofaccounts/{victimId}/recipients' للحصول على معلومات حول حسابات مملوكة لمستخدمين آخرين. يسمح هذا للمهاجم بتعداد معرفات المستخدمين المسجلين وأسماء العرض، والتحقق من عناوين بريد إلكتروني محددة باستخدام المتغير filter[nameOrEmail]، وفحص علاقات المشاركة لكل حساب.التوصيات
التحديث إلى الإصدار 8.0.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾