PT-2026-63485
CVE-2026-64829
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Question2Answer السابقة للإصدار 1.8.9
الوصف
توجد مشكلة في إبطال صلاحية الجلسة حيث يفشل مسار إعادة تعيين كلمة المرور المنسية في مسح حقل
sessioncode في الملف qa-include/app/users-edit.php. في حين أن عملية تغيير كلمة المرور القياسية في qa-include/pages/account.php تبطل بشكل صحيح ملفات تعريف الارتباط الدائمة qa session، فإن الدالة qa finish reset user() لا تقوم بهذا الإجراء. وهذا يسمح للمهاجم الذي يمتلك ملف تعريف ارتباط «تذكرني» تم الحصول عليه مسبقًا بالحفاظ على الوصول المصادق عليه إلى الحساب حتى بعد إعادة تعيين كلمة المرور.التوصيات
قم بتحديث Question2Answer إلى إصدار أحدث من 1.8.8.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة
qa finish reset user() أو عملية إعادة تعيين كلمة المرور المنسية حتى يتم تطبيق التصحيح. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾