PT-2026-69468 · Unknown · Fastschema
CVSS v3.1
7.4
عالية
| المتجه | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات fastschema الأقدم من 0.15.2
الوصف
تحدث حالة تنافس «وقت الفحص/وقت الاستخدام» (TOCTOU) في مسار استعادة الحساب. تسمح هذه المشكلة لمهاجم بعيد غير مصدق بتجاوز حد محاولات كلمة المرور لمرة واحدة (OTP)، مما يسهل شن هجمات القوة الغاشمة على رموز OTP المكونة من 6 أرقام. تقوم الدالة
verifyOTPSession() الموجودة في pkg/auth/local.go بقراءة عداد المحاولات وزيادته باستخدام عمليات منفصلة غير متزامنة. وهذا يسمح للطلبات المتزامنة برؤية نفس عدد المحاولات دون الحد الأدنى وتجاوز فحص الحد قبل إتمام التحديث. حالة التنافس TOCTOU هي خطأ برمجي يحدث عندما يتحقق البرنامج من حالة أحد الموارد ثم يتصرف بناءً على تلك الموارد، لكن الحالة تتغير بين وقت الفحص ووقت التنفيذ.التوصيات
قم بتحديث fastschema إلى الإصدار 0.15.2 أو أحدث.
استغلال
إصلاح
Time Of Check To Time Of Use
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Fastschema