PT-2026-69986
CVE-2026-72917
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AnythingLLM من 1.0.0 إلى 1.15.0
الوصف
تستخدم عملية استعادة الحساب غير المصادق عليها في الملف
server/utils/PasswordRecovery/index.js الدالة recoverAccount() لإزالة التكرار من قيم recoveryCodes قبل اقتطاعها. وهذا يسمح لرمز استعادة صالح واحد تم إرساله مرتين مع مسافات بيضاء مختلفة حوله بتجاوز متطلب وجود رمزين مختلفين. بالإضافة إلى ذلك، قد تتطابق كل قيمة مُعَدَّلة مع نفس التجزئة المخزنة بدلاً من استخدام تجزئة فريدة. يمكن للمهاجم الذي يمتلك اسم مستخدم الهدف ورمز استرداد واحد استخدام نقطة النهاية ’POST /api/system/recover-account‘ في وضع المستخدمين المتعددين للحصول على رمز إعادة تعيين كلمة المرور، ثم استخدام نقطة النهاية ’POST /api/system/reset-password‘ للاستيلاء على الحساب، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول.التوصيات
تحديث AnythingLLM إلى إصدار أحدث من 1.15.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾