PT-2026-146530
CVE-2026-128047
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenMage magento-lts الإصدارات السابقة لـ 20.18.2
OpenMage magento-lts الإصدارات السابقة لـ 21.0.0-beta3
Description
يتم إنشاء مفاتيح تأكيد البريد الإلكتروني للعملاء باستخدام
md5(uniqid()) بينما تستخدم رموز إعادة تعيين كلمة مرور العملاء والمسؤولين دالة uniqHash() غير التشفيرية. يمكن للمهاجمين غير المصرح لهم تنفيذ هجوم القوة الغاشمة على مفتاح التأكيد الذي يبلغ طوله حوالي 20 بت عبر نقطة النهاية confirmAction التي تفتقر إلى تحديد معدل الطلبات، وذلك لتسجيل الدخول كعملاء معلقين. بالإضافة إلى ذلك، يمكن التنبؤ برموز إعادة تعيين المسؤول بعد استعادة حالة المولد.Recommendations
تحديث OpenMage magento-lts إلى الإصدار 20.18.2 أو أحدث.
تحديث OpenMage magento-lts إلى الإصدار 21.0.0-beta3 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾