CVE-2026-108335
KrytyczneCVSS 9.1Streszczenie
Gdy funkcja resetowania hasła jest włączona i skonfigurowano e-mail, atakujący może przejąć dowolne konto za pomocą ataku brute-force. Brak ograniczenia liczby prób wprowadzenia kodu resetowania umożliwia brute-force wyzwania resetowania hasła. Atakujący może uzyskać dostęp administracyjny do aplikacji i wykonywać czynności takie jak konfiguracja usługi lub żądanie zbierania logów; dane uwierzytelniające urządzeń i dane klientów nie są dostępne przez tę lukę.
Ocena ryzyka
Atakujący może przejąć dowolne konto, w tym administracyjne, poprzez brute-force kodu resetowania hasła, co prowadzi do nieautoryzowanego dostępu do funkcji administracyjnych. Może to skutkować zmianą konfiguracji usługi i żądaniem zbierania logów.
Rekomendacja
Należy wprowadzić ograniczenie liczby prób (rate limiting) dla wprowadzania kodu resetowania hasła oraz rozważyć wyłączenie funkcji resetowania hasła, jeśli nie jest wymagana. Zaleca się również monitorowanie nietypowej liczby prób resetowania hasła.
Inne podatności w Password reset functionality
Oryginalny opis (angielski, źródło NVD)
When the password reset functionality is enabled, and email is configured, an attacker could take over any account using a brute-force attack. There is no rate limiting on the attempts to enter the reset code, leading to the possibility of a brute force solution to the password reset challenge. An attacker could gain administrative access to the application and perform actions like configuring the service or requesting log collection. Device credentials and customer data cannot be accessed with this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS