Katalog CVE
CVE-2026-48902
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.25%
Percentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Funkcje resetowania hasła i nazwy użytkownika tworzyły zwykłe linki HTTP dla połączeń HTTPS, jeśli flaga „Wymuś SSL” nie była jawnie ustawiona.
Ocena ryzyka
Atakujący może przechwycić link resetujący w postaci zwykłego tekstu, co prowadzi do przejęcia konta.
Rekomendacja
Zawsze włączaj flagę „Wymuś SSL” lub wymuszaj HTTPS w konfiguracji aplikacji.
Oryginalny opis (angielski, źródło NVD)
The password and username reset features created plain http links for https connections if the "Force SSL" flag wasn't explicitly set.