PT-2026-113335

CVE-2026-63159

Publicado

2026-10-13

Atualizado

2026-10-13

Descrição por

CVSS 4.0

9.1

Crítica

MétricasAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Omnispace Agora Project versões anteriores a 26.10.0

Description Existe um problema onde os tokens de redefinição de senha são gerados usando um método previsível, especificamente como sha1(login.password). Como esse valor é determinístico e reutilizável, invasores não autenticados podem computar ou realizar força bruta no token usando combinações conhecidas ou presumidas de login e senha. Isso permite a criação de solicitações de redefinição de senha forjadas para sequestrar contas de usuários arbitrários.

Recommendations Atualize para a versão 26.10.0 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Geoffrey Robert

Valentin Holubec

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-640: Weak Password Recovery Mechanism for Forgotten Password

Identificadores relacionados