CVE-2026-72584
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność typu time-of-check/time-of-use (TOCTOU) w fastschema do wersji v0.15.1 pozwala nieuwierzytelnionemu zdalnemu atakującemu na obejście limitu prób OTP w procesie odzyskiwania konta, co umożliwia ataki brute-force na 6-cyfrowe kody OTP.
Ocena ryzyka
Atakujący może przejąć konta użytkowników poprzez złamanie kodów OTP, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia integralności systemu.
Rekomendacja
Zaktualizuj fastschema do wersji z poprawką. Dodatkowo rozważ wprowadzenie dodatkowych mechanizmów zabezpieczających, takich jak blokada konta po kilku nieudanych próbach.
Oryginalny opis (angielski, źródło NVD)
A time-of-check/time-of-use (TOCTOU) race condition in fastschema through v0.15.1 allows an unauthenticated remote attacker to bypass the OTP attempt limit on the account recovery flow, enabling brute-force attacks on 6-digit OTP codes.