PT-2026-139802
CVE-2026-123521
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Vikunja الإصدارات السابقة لـ 2.7.1
Description
يوجد تقييد غير مناسب لمحاولات المصادقة المفرطة مما يسمح لحاملي الجلسات بتنفيذ هجمات القوة الغاشمة على كلمات مرور الحساب عبر نقاط نهاية إعادة المصادقة غير المحدودة. يمكن للمهاجم الذي يمتلك جلسة مسروقة تخمين كلمة المرور عبر نقطة النهاية '/user/settings/totp/disable' دون حدوث إغلاق للحساب، ومن ثم تعطيل كلمة المرور لمرة واحدة المستندة إلى الوقت (TOTP) بدون رمز لتحقيق سيطرة دائمة على الحساب.
Recommendations
التحديث إلى الإصدار 2.7.1 أو أحدث.
تقييد الوصول إلى نقطة النهاية '/user/settings/totp/disable' كإجراء تخفيف مؤقت.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾