PT-2026-7914
CVE-2026-26185
·
تاريخ النشر
2026-02-12
·
تاريخ التحديث
2026-02-13
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Directus الأقدم من 11.14.1
الوصف
توجد مشكلة في تعداد المستخدمين تعتمد على التوقيت في وظيفة إعادة تعيين كلمة المرور. يؤدي توفير معلمة
reset url غير صالحة إلى اختلاف أوقات الاستجابة – حوالي 500 مللي ثانية – بين المستخدمين الموجودين وغير الموجودين، مما يسمح بتعداد المستخدمين بشكل موثوق. تحاول نقطة نهاية إعادة تعيين كلمة المرور تطبيق حماية مؤقتة، لكن التحقق من صحة عنوان URL يحدث قبل تطبيق هذه الحماية، مما يسمح بتحديد حسابات المستخدمين الصالحة استنادًا إلى أوقات الاستجابة. تؤدي هذه المشكلة إلى انتهاك خصوصية المستخدمين وقد تسهل هجمات التصيد الاحتيالي الموجهة من خلال تأكيد وجود الحسابات.التوصيات
قم بالتحديث إلى الإصدار 11.14.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾