CVE-2026-120447

Nome do Software Vulnerável e Versões Afetadas HotGo versões 2.0.0 through 2.15.1

Description Existe uma falha de bypass de autenticação que permite que atacantes não autenticados definam um código de verificação de login por SMS personalizado. Ao fornecer um valor específico ao campo Code no endpoint '/admin/sms/send', um atacante que conheça o número de celular de um usuário pode definir o código de verificação e, posteriormente, utilizá-lo no endpoint '/admin/site/mobileLogin' para assumir contas, incluindo contas de administradores.

Recommendations Atualize o HotGo para uma versão posterior à 2.15.1. Restrinja o acesso aos endpoints '/admin/sms/send' e '/admin/site/mobileLogin' para minimizar o risco de exploração.