CVE-2026-64822

ŚrednieCVSS 5.3

Opublikowano: 21/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Podatność w djangoSIGE do wersji 1.10 (commit a6fe7e8) umożliwiająca enumerację użytkowników poprzez endpoint resetowania hasła. Nieuwierzytelniony atakujący może odróżnić istniejące konta od nieistniejących na podstawie różnych komunikatów błędów.

Ocena ryzyka

Ryzyko identyfikacji prawidłowych kont użytkowników, co może ułatwić ataki siłowe lub phishingowe na system.

Rekomendacja

Zaktualizuj djangoSIGE do najnowszej wersji i ujednolic komunikaty błędów dla endpointu resetowania hasła.

Inne podatności w djangoSIGE

CVE-2026-64821Średnie
Podatność CSRF w djangoSIGE do wersji 1.10 pozwala nieuwierzytelnionym atakującym na anulowanie zamówień sprzedaży lub zakupu w imieniu uwierzytelnionych użytkowników. Atak wykorzystuje metody GET w widokach anulowania, omijając ochronę CSRF.

Oryginalny opis (angielski, źródło NVD)

djangoSIGE through 1.10 (commit a6fe7e8) contains a user enumeration vulnerability in ForgotPasswordView within djangosige/apps/login/views.py that allows unauthenticated attackers to identify valid accounts by observing distinct error messages returned by the password reset endpoint. Attackers can submit arbitrary usernames or email addresses to the POST login/esqueceu/ endpoint and distinguish between existing and non-existing accounts based on observable discrepancies in the application's responses.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS