CVE-2026-93340

Nome do Software Vulnerável e Versões Afetadas Gladys Assistant versões anteriores a 5.1.0

Description Existe um problema onde invasores remotos não autenticados podem obter tokens de redefinição de senha válidos para qualquer conta. Isso ocorre devido à falta de validação no lado do servidor do parâmetro origin fornecido pelo cliente no endpoint forgot password. Ao enviar uma solicitação manipulada com uma origem controlada pelo invasor, a vítima recebe um link de redefinição envenenado que revela o token de sessão ao invasor, permitindo a tomada total de controle da conta, incluindo contas de administrador.

Recommendations Atualize o Gladys Assistant para a versão 5.1.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint forgot password ou evite usar o parâmetro origin até que a atualização seja aplicada.