PT-2026-138426
CVE-2026-63438
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
2FAuth الإصدارات السابقة لـ 8.0.0
الوصف
عندما يتم ضبط
AUTHENTICATION GUARD على reverse-proxy-guard ، قد يقبل التطبيق رؤوس المصادقة من العملاء الذين لم يمروا عبر وكيل موثوق. في هذا السيناريو، تقوم الدالة RemoteUserProvider::retrieveById() بإنشاء حساب لـ REMOTE USER غير معروف، وترقي أول حساب تم إنشاؤه إلى مسؤول، وتزامن البريد الإلكتروني للحساب من رأس البريد الإلكتروني المكون. يسمح هذا لعميل عن بعد غير مصرح له بإنشاء حساب مسؤول على مثيل جديد أو انتحال شخصية حساب موجود وإعادة توجيه بريده الإلكتروني، مما يؤدي إلى كشف أسرار المصادقة الثنائية (2FA) والوظائف الإدارية.التوصيات
التحديث إلى الإصدار 8.0.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾