PT-2026-56039
CVE-2026-53646
·
تاريخ النشر
2026-07-06
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 4.0
7.7
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FOSSBilling من 0.5.6 إلى 0.7.2
الوصف
عندما يكون سجل
ClientPasswordReset موجودًا بالفعل لعميل ما نتيجة لطلب سابق لم تنتهِ صلاحيته بعد، فإن الاستدعاءات اللاحقة لنقطة نهاية واجهة برمجة التطبيقات (API) للضيوف reset password تعيد استخدام الرمز المميز الموجود بدلاً من إنشاء رمز جديد. تعتمد فترة الصلاحية البالغة 15 دقيقة على الطابع الزمني created at للطلب الأول بدلاً من أحدث رسالة بريد إلكتروني. وهذا يسمح للمهاجم الذي حصل على رابط إعادة التعيين الأصلي باستخدامه حتى بعد أن يطلب الضحية إعادة تعيين جديدة، حيث إن الرمز الأصلي لا يتم إبطال صلاحيته أو استبداله.التوصيات
التحديث إلى الإصدار 0.8.0.
قم بتكوين وكيل عكسي لتطبيق تقييد المعدل لكل عنوان IP على نقطة نهاية
/client/reset-password.قم يدويًّا بمسح سجلات
client password reset منتهية الصلاحية من قاعدة البيانات بعد أن يبلغ العميل عن اشتباه في اختراق. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾