CVE-2026-72780
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Craft CMS przed wersją 5.10.5 nie utrwala zaktualizowanych liczników poświadczeń po walidacji asercji WebAuthn w punkcie logowania passkey. Atakujący mogą odtwarzać przechwycone treści żądań logowania zawierające requestOptions i response, aby tworzyć dodatkowe uwierzytelnione sesje dla kont ofiar.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do kont użytkowników, co może prowadzić do naruszenia poufności i integralności danych. Jest to poważne ryzyko dla bezpieczeństwa kont.
Rekomendacja
Zaktualizuj Craft CMS do wersji 5.10.5 lub nowszej, aby zapewnić prawidłowe utrwalanie liczników poświadczeń i zapobiec atakom replay.
Oryginalny opis (angielski, źródło NVD)
Craft CMS before 5.10.5 fails to persist updated credential counters after WebAuthn assertion validation in the passkey login endpoint. Attackers can replay captured login request bodies containing requestOptions and response to create additional authenticated sessions for victim accounts.