PT-2026-6933
CVE-2026-25858
·
تاريخ النشر
2026-02-07
·
تاريخ التحديث
2026-03-05
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات برنامج «macrozheng mall» الأقدم من 1.0.4
الوصف
يحتوي البرنامج على ثغرة في عملية المصادقة عند إعادة تعيين كلمة المرور. يمكن لمهاجم غير مصدق عليه إعادة تعيين كلمات مرور حسابات المستخدمين باستخدام رقم هاتف الضحية فقط. يتم الكشف عن كلمة المرور لمرة واحدة (OTP) في استجابة واجهة برمجة التطبيقات (API)، ويتم التحقق من صحة طلبات إعادة تعيين كلمة المرور من خلال مقارنة كلمة المرور لمرة واحدة (OTP) المقدمة بقيمة مخزنة مرتبطة برقم الهاتف، دون التحقق من هوية المستخدم أو ملكية رقم الهاتف. وهذا يسمح بالاستيلاء عن بُعد على حساب أي مستخدم لديه رقم هاتف معروف أو يمكن توقعه. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي مسار إعادة تعيين كلمة المرور داخل
mall-portal. تستغل هذه الثغرة الأمنية عدم التحقق من هوية المستخدم وملكية رقم الهاتف أثناء طلبات إعادة تعيين كلمة المرور.التوصيات
قم بتحديث macrozheng mall إلى الإصدار 1.0.4 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾