SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-50635

WysokieCVSS 8.8
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko
0.66%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

LimeSurvey konstruuje linki do resetowania hasła na podstawie nagłówka HTTP Host dostarczonego przez klienta bez jego walidacji. Opcjonalna lista dozwolonych hostów (allowedHosts) jest niezdefiniowana w domyślnej (i udokumentowanej) konfiguracji, więc LSHttpRequest::checkIsAllowedHost() nie wykonuje żadnej operacji. Zdalny, nieuwierzytelniony atakujący, który wyśle żądanie zapomnianego hasła dla znanego konta (wymagające tylko nazwy użytkownika i e-maila ofiary) ze sfałszowanym nagłówkiem Host, powoduje, że LimeSurvey wysyła e-mailem link resetujący, którego host jest kontrolowany przez atakującego, a który zawiera prawdziwy klucz weryfikacyjny. Gdy odbiorca lub automatyczny skaner linków w zabezpieczeniach poczty kliknie link, prawidłowy token resetu zostaje ujawniony atakującemu, który może go użyć wobec legalnego hosta, aby ustawić nowe hasło i przejąć konto.

Ocena ryzyka

Ryzyko obejmuje przejęcie kont użytkowników poprzez fałszywe linki resetujące hasło, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia bezpieczeństwa.

Rekomendacja

Zaleca się natychmiastową aktualizację LimeSurvey do wersji, w której walidowany jest nagłówek Host, oraz skonfigurowanie listy dozwolonych hostów (allowedHosts).

Inne podatności w LimeSurvey

Zobacz wszystkie
Oryginalny opis (angielski, źródło NVD)

LimeSurvey constructs account password-reset links from the client-supplied HTTP Host header without validating it. The optional allowedHosts allowlist that would constrain this is undefined in the default (and documented) configuration, so LSHttpRequest::checkIsAllowedHost() results in no operation. A remote, unauthenticated attacker who submits a forgotten-password request for a known account (requiring only the target's username and email) with a spoofed Host header causes LimeSurvey to email that account a reset link whose hostname is attacker-controlled while embedding the genuine validation_key. When the recipient or an automated inbound mail-security link scanner dereferences the link, the valid reset token is disclosed to the attacker, who replays it against the legitimate host's newPassword endpoint to set a new password and take over the account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS