CVE-2026-14850

WysokieCVSS 8.8

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Funkcjonalność resetowania hasła jest podatna na nieautoryzowaną modyfikację konta z powodu niewłaściwej walidacji parametru user_id. Atakujący może manipulować przewidywalnym identyfikatorem numerycznym, aby zresetować hasła dowolnych użytkowników bez udowodnienia własności konta.

Ocena ryzyka

Atakujący może przejąć dowolne konto użytkownika, w tym konta administracyjne, poprzez reset hasła bez weryfikacji własności. Prowadzi to do pełnego przejęcia konta i potencjalnego naruszenia całego systemu.

Rekomendacja

Natychmiast wdróż poprawkę walidującą parametr user_id w funkcji resetowania hasła. Upewnij się, że reset hasła wymaga weryfikacji własności konta (np. poprzez token wysłany na e-mail).

Inne podatności w Password reset functionality

CVE-2026-108335Krytyczne
Gdy funkcja resetowania hasła jest włączona i skonfigurowano e-mail, atakujący może przejąć dowolne konto za pomocą ataku brute-force. Brak ograniczenia liczby prób wprowadzenia kodu resetowania umożliwia brute-force wyzwania resetowania hasła. Atakujący może uzyskać dostęp administracyjny do aplikacji i wykonywać czynności takie jak konfiguracja usługi lub żądanie zbierania logów; dane uwierzytelniające urządzeń i dane klientów nie są dostępne przez tę lukę.

Oryginalny opis (angielski, źródło NVD)

The password reset funcionality is vulnerable to unauthorized account modification due to improper validation of the user_id parameter. An attacker can manipulate this predictable numeric identifier to reset passwords for arbitrary users without proving account ownership.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS