CVE-2026-63095
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Dendrite do wersji 0.13.8 zawiera podatność nieprawidłowej autoryzacji w interfejsie API klient-serwer Matrix, która pozwala każdemu uwierzytelnionemu użytkownikowi lokalnemu na usunięcie powiązań identyfikatorów stron trzecich należących do innych użytkowników. Atakujący może wykorzystać niezweryfikowany handler Forget3PID, aby usunąć powiązanie e-mail lub MSISDN ofiary, a następnie ponownie powiązać adres za pomocą serwera tożsamości, przejmując proces resetowania hasła ofiary.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kont użytkowników poprzez manipulację procesem resetowania hasła, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Dendrite do wersji 0.13.9 lub nowszej, która zawiera poprawkę usuwającą podatność. Należy również zweryfikować, czy nie doszło do nieautoryzowanych zmian powiązań identyfikatorów stron trzecich.
Inne podatności w Dendrite
Zobacz wszystkie- CVE-2026-63097Średnie
Dendrite do wersji 0.13.8 zawiera podatność nieprawidłowej kontroli dostępu w endpointcie /context syncapi. Luka pozwala uwierzytelnionym użytkownikom lokalnym na dostęp do zdarzeń stanu pokoju po opuszczeniu go, wykorzystując błędne sprawdzanie członkostwa.
- CVE-2026-63096Średnie
Dendrite do wersji 0.13.8 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala nieuwierzytelnionym atakującym na otwieranie przez serwer wychodzących połączeń TLS do dowolnych hostów i portów poprzez podanie niezweryfikowanego parametru serverName w legacy endpointcie pobierania multimediów. Atakujący mogą wykorzystać rozróżnialne klasy odpowiedzi błędów oraz wyciekające wewnętrzne adresy IP w komunikatach błędów do przeprowadzania ślepego skanowania portów i mapowania wewnętrznej topologii sieci.
Oryginalny opis (angielski, źródło NVD)
Dendrite through 0.13.8 contains an improper authorization vulnerability in the Matrix Client-Server API that allows any authenticated local user to delete third-party identifier bindings belonging to other users by submitting an arbitrary address and medium to the account deletion endpoint without ownership verification. Attackers can exploit the unverified Forget3PID handler to remove a victim's email or MSISDN binding and subsequently rebind the address through an identity server to hijack the victim's password reset flow.