CVE-2026-100501
ŚrednieCVSS 6.5Streszczenie
Flame do wersji 2.4.0 zawiera podatność nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia w punkcie końcowym POST /api/auth, która pozwala nieuwierzytelnionym atakującym na brute-force hasła administratora. Atakujący mogą wysyłać nieograniczoną liczbę prób bez ograniczania szybkości, liczników prób, blokad lub opóźnień, aby uzyskać pełny dostęp administratora i modyfikować konfigurację aplikacji.
Ocena ryzyka
Ryzyko obejmuje przejęcie konta administratora poprzez atak brute-force, co może prowadzić do pełnej kontroli nad aplikacją i jej konfiguracją.
Rekomendacja
Zaleca się aktualizację Flame do wersji z poprawką, która wprowadza ograniczenia prób logowania, takie jak limit szybkości i blokady kont.
Inne podatności w Flame
Zobacz wszystkie- CVE-2026-100502Średnie
Flame do wersji 2.4.0 zawiera podatność niewystarczającego wygasania sesji w punkcie końcowym logowania, która pozwala atakującym z byłym dostępem administratora na uzyskanie tokenów o dowolnej długości życia poprzez podanie niezweryfikowanych parametrów czasu trwania. Atakujący mogą tworzyć prawie wieczne tokeny administratora, które przetrwają zmiany hasła, zachowując pełną kontrolę nad pulpitem, ponieważ tokeny są weryfikowane tylko względem statycznego sekretu JWT, który nigdy nie jest rotowany.
- CVE-2026-100418Średnie
Flame do wersji 2.4.0 zawiera podatność ujawnienia informacji w nieuwierzytelnionym punkcie końcowym GET /api/config, który zwraca cały obiekt konfiguracji bez redakcji pól. Atakujący mogą pobrać zapisany klucz API pogody i wewnętrzne ustawienia operacyjne, wysyłając pojedyncze nieuwierzytelnione żądanie, aby zużyć limit dostawcy lub uzyskać dostęp do wrażliwych danych konfiguracyjnych.
Oryginalny opis (angielski, źródło NVD)
Flame through 2.4.0 contains an improper restriction of excessive authentication attempts vulnerability in the POST /api/auth login endpoint that allows unauthenticated attackers to brute-force the admin password. Attackers can submit unlimited password guesses without rate limiting, attempt counters, lockouts, or delays to gain full administrator access and modify application configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS