CVE-2026-112002
ŚrednieCVSS 6.8Streszczenie
ProjectSend w wersjach od 2.5.0 do przed 2.7.0 zawiera podatność polegającą na niezweryfikowanej zmianie hasła w funkcji PasswordController::update(), która pozwala sesjom kont utworzonych przez Social ustawić lokalne hasło bez podania aktualnego hasła. Atakujący posiadający skradzione ciasteczko sesji może wysłać żądanie PUT /settings/password, aby utworzyć trwałe lokalne hasło, zarejestrować własny drugi czynnik i trwale przejąć konto.
Ocena ryzyka
Skradzione ciasteczko sesji może zostać wykorzystane do trwałego przejęcia konta, w tym ustanowienia własnego drugiego czynnika, co prowadzi do pełnej kompromitacji konta użytkownika.
Rekomendacja
Zaktualizuj ProjectSend do wersji 2.7.0 lub nowszej oraz w przypadku podejrzenia kompromitacji unieważnij aktywne sesje i wymuś ponowne uwierzytelnienie użytkowników.
Inne podatności w ProjectSend
Zobacz wszystkie- CVE-2026-112003Średnie
ProjectSend w wersjach od 2.0.0 do przed 2.7.0 zawiera błąd walidacji ścieżek w funkcji OrphanFileScanner::isOrphan(), który pozwala pracownikom z uprawnieniem import_orphans traktować śledzone pliki jako osierocone. Atakujący może przesłać aliasy ścieżek ./ do punktów końcowych importu lub usuwania osieroconych plików, usuwając lub przejmując pliki innych właścicieli z pominięciem uprawnienia delete_others_files.
- CVE-2026-112001Wysokie
ProjectSend w wersjach od 2.0.0 do 2.7.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala posiadaczom ograniczonego tokenu API zmieniać poświadczenia właściciela tokenu poprzez PATCH /api/v1/users/{user}. Atakujący z tokenem ograniczonym do manage_users i edit_users może ustawić nowe hasło właściciela, wyczyścić uwierzytelnianie dwuskładnikowe i zalogować się interaktywnie z pełnymi uprawnieniami właściciela.
- CVE-2023-53980Krytyczne
ProjectSend r1605 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na przesyłanie złośliwych plików poprzez manipulowanie rozszerzeniami plików. Atakujący mogą przesyłać skrypty powłoki z zamaskowanymi rozszerzeniami przez endpoint upload.process.php, aby wykonać dowolne polecenia na serwerze.
- CVE-2024-11680KrytyczneAktywnie exploitowane
W ProjectSend w wersjach przed r1720 występuje luka w uwierzytelnianiu. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP do pliku options.php, co umożliwia nieautoryzowaną modyfikację konfiguracji aplikacji. Skuteczne wykorzystanie luki pozwala na tworzenie kont, wgrywanie webshelli oraz osadzanie złośliwego JavaScript.
- CVE-2026-53992Średnie
ProjectSend r2029 zawiera odzwierciedloną podatność XSS w thumbnails-regenerate.php, która pozwala zdalnym atakującym na wstrzyknięcie dowolnego HTML i JavaScript poprzez podanie niesanityzowanych wartości w parametrach GET start_date i end_date, które są echoowane bez escapowania do wartości atrybutów HTML. Atakujący może stworzyć złośliwy URL, który po kliknięciu przez uwierzytelnioną ofiarę z uprawnieniami edit_settings wykonuje wstrzyknięte skrypty w originie aplikacji, co może prowadzić do kradzieży ciasteczek sesji lub nieautoryzowanych działań, w tym zarządzania użytkownikami, plikami i zmianami ustawień aplikacji.
- CVE-2021-47947Średnie
Trwały XSS w Projectsend r1295. Uwierzytelnieni atakujący mogą wstrzyknąć złośliwy skrypt przez parametr 'name' w pliku files-edit.php, który wykonuje się u administratorów na Dashboardzie.
- CVE-2026-5624Średnie
Podatność na Cross-Site Request Forgery (CSRF) w ProjectSend r2002 w pliku upload.php. Atak może być przeprowadzony zdalnie. Publicznie dostępny jest exploit.
- CVE-2020-28874Wysokie
Podatność w skrypcie reset-password.php w ProjectSend przed wersją r1295 umożliwia zdalnemu atakującemu zresetowanie hasła użytkownika z powodu błędnej logiki biznesowej. Błędy nie są odpowiednio obsługiwane, w szczególności nieprawidłowy parametr tokena.
Oryginalny opis (angielski, źródło NVD)
ProjectSend 2.5.0 before 2.7.0 contains an unverified password change vulnerability in PasswordController::update() that lets sessions of Social-provisioned accounts set local passwords without the current password. Attackers holding a stolen session cookie can send PUT /settings/password to create a durable local password, enroll their own second factor, and persistently take over the account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS