CVE-2026-15689

إصدارات Dancer2::Plugin::Auth::Extensible الأقدم من 0.714

يمكن التلاعب برابط إعادة تعيين كلمة المرور عبر رأس الطلب Host في الدالتين default email password reset و default welcome send. تقوم كلتا الرسالتين الإلكترونيتين الافتراضيتين بإنشاء رابط باستخدام التنسيق $base/login/$code، حيث يتم اشتقاق السلطة من رأس الطلب Host أو رأس X-Forwarded-Host عند تمكين behind proxy. يؤدي إرسال طلب POST غير مصدق إلى نقطة النهاية ’/login‘ يحتوي على submit reset وusername إلى تخزين رمز إعادة التعيين وإرسال رابط إلى المستخدم يشير إلى مضيف يحدده المهاجم. وبالمثل، تتبع رسالة البريد الإلكتروني الترحيبية هذا المسار عند استدعاء create user مع تعيين email welcome. في الإصدارات حتى 0.711، تقرأ المعالجات request->uri base وrequest->base مباشرةً، بينما تستخدم الإصدارات 0.712 والإصدارات الأحدث مفتاح تكوين uri base الذي يُعيَّن افتراضيًّا إلى request->uri base غير الموثوق به إذا لم يتم تعيينه. إذا تم تمكين reset password handler مع نص الرسالة الافتراضي، فإن المستخدم الذي ينقر على الرابط يرسل رمز إعادة تعيين صالحًا إلى مضيف المهاجم، مما يتيح الاستيلاء على الحساب.

قم بتحديث Dancer2::Plugin::Auth::Extensible إلى إصدار أحدث من 0.713.

اضبط مفتاح التكوين uri base على قيمة موثوقة لتجنب الاعتماد افتراضيًّا على القيمة غير الموثوقة request->uri base.

قم بتقييد استخدام الدالتين default email password reset و default welcome send حتى يتم تحديث البرنامج